GeolocationBOF

Un BOF di Cobalt Strike che tenta di recuperare le coordinate di geolocalizzazione di Windows senza fork & run. Utilizza prima l'API WinRT Geolocator e poi ricade sulla legacy ILocation API.

Implementazione

Semplice BOF che utilizza la geolocalizzazione WinRT con un fallback legacy ILocation. Modificherà le seguenti chiavi di registro:

• HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location
  • Value = Allow
• HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location\NonPackaged\<encoded process path>
  • Value = Allow
• Solo amministratore: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location
  • Value = Allow
• Solo amministratore: HKLM\SOFTWARE\Policies\Microsoft\Windows\LocationAndSensors
  • DisableLocation = 0
  • DisableWindowsLocationProvider = 0
• Solo amministratore: HKLM\SOFTWARE\Policies\Microsoft\Windows\AppPrivacy
  • LetAppsAccessLocation = 1
• Solo amministratore: HKLM\SYSTEM\CurrentControlSet\Services\lfsvc\Service\Configuration
  • Status = 1

L'esecuzione come amministratore modifica anche temporaneamente il tipo di avvio del servizio lfsvc in avvio su richiesta e tenta di avviare il servizio.

Tutte le modifiche vengono annullate dopo l'esecuzione.

Self Compilation

1. git clone the repo
2. run make

Utilizzo

1. importa lo script GeoLocationBOF.cna in Cobalt Strike
2. usa il comando geolocation_bof

beacon> geolocation_bof
[*] Running geolocation_bof by (@codex_tf2)
[+] host called home, sent: 30095 bytes
[+] received output:
latitude=12.34567890
longitude=-12.34567890
accuracy_radius_meters=25.00

Note

• I servizi di localizzazione di Windows devono essere disponibili sul target.
• Le impostazioni di privacy della posizione, le policy, i sensori e la disponibilità del provider possono impedire i risultati.
• È richiesto il contesto amministratore per abilitare il permesso di localizzazione se non già concesso.
• Modifiche temporanee al registro per concedere i permessi di localizzazione, ripristinate prima che il BOF esca.
• Non viene eseguita alcuna evasione - applica la tua OPSEC.

Perché ho creato questo?

Questo BOF è pensato per fornire un modo diretto in-process per richiedere i dati di geolocalizzazione di Windows.

Crediti

• https://github.com/MEhrn00/boflink

Dichiarazione di non responsabilità

il solito disclaimer, non sono responsabile per eventuali crimini contro l'umanità che potreste commettere o guerre nucleari che potreste causare usando questo pezzo di codice mal scritto.