Cobalt Strike CheatSheet

Note e consigli generali per il framework C2 Cobalt Strike.

Indice

Cobalt Strike: Il primo e più basilare dei menu, contiene le funzionalità per connettersi a un team server, impostare le preferenze, cambiare la visualizzazione delle sessioni beacon, gestire i listener e gli script aggressor.
View: Il menu View è composto da elementi che gestiscono target, log, credenziali raccolte, screenshot, sequenze di tasti ecc. Il suo scopo principale è fornire un modo semplice per accedere all'output di molti moduli, gestire il proprio bottino e i target di dominio.
Attacks: Questo menu contiene numerosi metodi per generare attacchi client-side come email di phishing, clonazione di siti web e hosting di file. Fornisce inoltre numerosi modi per generare i payload beacon o semplicemente generare shellcode e salvarlo per un uso successivo con un altro strumento di offuscamento.
Reporting: Fornisce un modo semplice per generare file pdf o fogli di calcolo contenenti informazioni sull'esecuzione di un attacco, in questo modo ti assiste nell'organizzazione di piccoli report, rendendo più semplice il processo di stesura del report finale.
Help: Menu di aiuto di base dello strumento.

HTTP/HTTPS: I payload più basilari per beacon, per impostazione predefinita i listener ascoltano sulle porte 80 e 443 con sempre la possibilità di impostare porte personalizzate. Hai la possibilità di impostare le configurazioni del proxy, personalizzare l'header HTTP o specificare una porta di bind per reindirizzare il traffico di beacon se l'infrastruttura utilizza server redirector per i callback del payload.
DNS: Un'opzione di payload molto stealth, fornisce traffico più furtivo sul protocollo dns, è necessario specificare il server DNS a cui connettersi. La situazione migliore per utilizzare questo tipo di listener è in un ambiente molto bloccato che blocca anche il traffico comune come le porte 80 e 443.

TCP: Un listener tcp di base associato a una porta specifica.
SMB: Un'ottima opzione per la diffusione interna e il movimento laterale, questo payload utilizza named pipe sul protocollo smb ed è l'approccio migliore per aggirare i firewall quando anche le porte predefinite come 80 e 443 sono in blacklist.

Foreign HTTP/HTTPS: Questi tipi di listener ci danno l'opzione di passare una sessione dal framework metasploit a cobalt strike usando payload http o https. Un esempio utile è eseguire un modulo exploit da metasploit e ottenere una sessione beacon su cobalt strike.
External C2: Questo è un tipo speciale di listener che offre l'opzione ad applicazioni di terze parti di agire come mezzo di comunicazione per beacon.