Crystal Kit

Questa repo è un esperimento tecnico e sociale per esplorare se sostituire le primitive di evasione di Cobalt Strike (Sleepmask/BeaconGate) con un PICO di Crystal Palace sia fattibile (o addirittura auspicabile) per scenari di evasione avanzati.

Utilizzo

1. Disabilita la sleepmask e le offuscazioni dello stage in Malleable C2.

stage {
    set sleep_mask "false";
    set cleanup "true";
    transform-obfuscate { }
}

post-ex {
    set cleanup "true";
    set smartinject "true";
}

2. Copia crystalpalace.jar nella directory del client di Cobalt Strike.
3. Carica crystalkit.cna.

Note

• Testato su Cobalt Strike 4.12.
• Può funzionare con qualsiasi capacità DLL post-ex.