inject-assembly - Eseguire .NET in un Processo Esistente

Questo strumento è un'alternativa alla tradizionale esecuzione fork and run per Cobalt Strike. Il loader può essere iniettato in qualsiasi processo, incluso il Beacon corrente. Gli assembly a lunga esecuzione continueranno a funzionare e invieranno l'output al Beacon, simile al comportamento di execute-assembly.

Ci sono due componenti di inject-assembly:

1. BOF initializer: Un piccolo programma responsabile dell'iniezione del loader dell'assembly in un processo remoto con eventuali argomenti passati. Utilizza BeaconInjectProcess per eseguire l'iniezione, il che significa che questo comportamento può essere personalizzato in un profilo Malleable C2 o con BOF di iniezione di processo (dalla versione 4.5).

2. PIC assembly loader: La parte principale del progetto. Il loader inizializzerà il runtime .NET, caricherà l'assembly fornito e lo eseguirà. Il loader creerà un nuovo AppDomain nel processo di destinazione in modo che l'assembly caricato possa essere completamente scaricato al termine dell'esecuzione.

La comunicazione tra il processo remoto e il Beacon avviene attraverso una named pipe. Lo script Aggressor genera un nome di pipe e lo passa al BOF initializer.

Caratteristiche Notevoli

• Corregge Environment.Exit() per impedire l'uscita del processo remoto.
• Sovrascrittura dell'intestazione dell'assembly .NET (byte MZ, e_lfanew, DOS Header, Rich Text, PE Header).
• Generazione casuale del nome della pipe basata su SourcePoint.
• Nessun blocco del Beacon, anche se l'assembly viene caricato nel processo corrente.

Utilizzo

Scarica e carica lo script Aggressor inject-assembly.cna in Cobalt Strike. Puoi quindi eseguire gli assembly usando il seguente comando:

inject-assembly pid assembly [args...]

Specifica 0 come PID per eseguire nel processo Beacon corrente.

Si consiglia di utilizzare un altro strumento, come FindObjects-BOF, per individuare un processo che carica già il runtime .NET, ma questo non è un requisito per il funzionamento di inject-assembly.

Avvertenze

• Attualmente supporta solo processi remoti x64.
• Ci sono diversi controlli in tutto il programma per ridurre la probabilità di crash del processo remoto, ma potrebbe comunque accadere.
• L'iniezione di processo predefinita di Cobalt Strike potrebbe farti scoprire. Considera un BOF di iniezione personalizzato o un hook IAT UDRL.
• Alcuni assembly si basano su Environment.Exit() per terminare l'esecuzione. Ciò impedirà la fase di pulizia del loader, ma puoi comunque disconnettere la named pipe usando jobkill.
• Decommenta le righe 3 o 4 di scmain.c per abilitare rispettivamente le modalità di errore o verbose. Sono disabilitate per impostazione predefinita per ridurre le dimensioni dello shellcode.

Riferimenti

Questo progetto non sarebbe stato possibile senza i seguenti progetti:

• Definizioni e implementazione relative a CLR - https://github.com/TheWover/donut
• Interfaccia job Beacon e struttura del progetto - https://github.com/SecIdiot/netntlm

Altre caratteristiche e ispirazione sono state tratte dalle seguenti risorse:

• https://github.com/med0x2e/ExecuteAssembly
• https://github.com/anthemtotheego/InlineExecute-Assembly
• https://www.mdsec.co.uk/2020/08/massaging-your-clr-preventing-environment-exit-in-in-process-net-assemblies