kuwaitist/astral_projectionUDRL di Cobalt Strike che esegue un avanzato module stomping utilizzando VEH per intercettare le chiamate, smappare i moduli durante la sospensione e rimappare nuovi moduli per eludere gli IOC.
Astral Projection è un UDRL (User-Defined Reflective Loader) per Cobalt Strike che esegue un avanzato module stomping.
L'UDRL carica un modulo utilizzando LoadLibraryExW, quindi manipola i suoi interni impostando un VEH per intercettare chiamate strategiche che gli consentono di rubare l'handle di sezione della DLL sacrificale e di migliorare i suoi diritti di accesso per un uso successivo nella sleep mask. Durante il sonno, smappa il modulo mantenendo intatte le voci PEB, quindi rimappa un nuovo modulo per evitare eventuali IOC durante il sonno.
Questo progetto è realizzato con Crystal Palace. Parte del codice è stata adottata dal progetto Crystal-Kit.
Un articolo tecnico che descrive in dettaglio le tecniche utilizzate è disponibile qui.
stage {
set sleep_mask "false";
set cleanup "true";
transform-obfuscate { }
}
post-ex {
set cleanup "true";
set smartinject "true";
}
crystalpalace.jar nella directory del client Cobalt Strike.Astral_Projection.cna.