PyBeacon

PyBeacon è una raccolta di script per gestire il traffico crittografato di Cobalt Strike.

Può crittografare/decrittografare i metadati dei beacon, nonché analizzare i tasking crittografati simmetricamente.

Script inclusi

C'è una piccola libreria che include metodi di crittografia/decodifica, tuttavia sono inclusi alcuni script di esempio.

• stager-decode.py - questo strumento decodifica semplicemente una DLL beacon da un URL stager (puoi usarlo per estrarre la chiave pubblica).
• register.py - questo strumento gestisce i metadati crittografati con RSA e può registrare un nuovo beacon (falso) su un Teamserver di destinazione.
• tasktool.py - questo strumento gestisce i tasking crittografati con AES da/verso il teamserver. Usalo per inviare callback al teamserver o per decodificare i tasking da un Teamserver al beacon.
• cs-3-5-rce.py - Questa è un'implementazione dell'exploit usato per sfruttare CS < 3.5-hf1, che è stato usato in natura per hackerare i server Cobalt Strike. Funziona registrando un beacon con un path traversal nel campo dell'indirizzo IP. Successivamente registra un callback di download che causa il caricamento del 'download' in qualsiasi punto del file system di destinazione. L'exploit ITW usava un cronjob per ottenere RCE.

TODO

• Aggiungere più tipi di tasking alla logica di decodifica dei task
• Aggiungere la decodifica per i tasking dei beacon. Al momento viene usata una logica 'generica', ma non è molto utile