optiv/registry-reconCobalt Strike Aggressor Script che esegue ricognizione su Sistema/AV/EDR
Script Aggressor di Cobalt Strike che esegue il riconoscimento di Sistema/AV/EDR.
Autore: Jess Hires
Come praticante di red-team, utilizziamo spesso strumenti che cercano di ottenere dettagli su un sistema compromesso, preferibilmente nel modo più silenzioso possibile. Alcuni dei nostri strumenti abituali per questo scopo hanno iniziato a essere rilevati dai prodotti EDR, a causa dell'uso di comandi CLI di Windows. Questo script aggressor mira a risolvere il problema sondando il sistema esclusivamente tramite query native al registro, senza comandi CLI.
Carica semplicemente reg.cna in Cobalt Strike usando il Gestore Script. Quindi fai clic con il pulsante destro sul beacon su cui vuoi eseguire il riconoscimento del registro, e scegli Registry poi Recon, oppure digita regenum nella console del beacon.
Principalmente, utilizzando le funzioni breg_query e breg_queryv di Cobalt Strike. Poi, tutto l'output del beacon viene intercettato con beacon_output, cercando valori specifici. Quando viene trovata una corrispondenza positiva, l'output viene evidenziato nella console del beacon. Poiché non esiste beacon_output_reg o qualcosa di simile, come beacon_output_ls e beacon_output_ps, tutto l'output deve essere catturato per essere analizzato.
È normale. Non abbiamo potuto testare tutte le soluzioni AV/EDR, e sapevamo che molte sarebbero mancate. Puoi aiutarci aprendo un issue su GitHub includendo le seguenti informazioni:
