Awesome CobaltStrike

Contenuti

0x00 Introduzione
0x01 Articoli e Video
0x02 Profili C2

0x00 Introduzione

La prima parte è una raccolta di articoli di qualità su CobaltStrike
La terza parte riguarda l'integrazione delle nuove funzionalità delle risorse BOF
Questo progetto serve a risolvere il problema di non trovare il giusto Aggressor Script o BOF quando serve
Se c'è contenuto di qualità non trattato in questa repo, sei invitato a inviare una PR

0x01 Articoli e Video

1. Conoscenze di base

2. Cracking e personalizzazione

3. Trucchi utili

4. Nascondere CobaltStrike

5. Analisi di CobaltStrike

Plugin Volatility per rilevare il beacon Cobalt Strike. blog|Toolset
逆向分析Cobalt Strike安装后门
分析cobaltstrike c2 协议
Piccolo strumento per decifrare un file di autenticazione di Cobalt Strike
Cobalt Strike 的 ExternalC2
Rilevare i moduli predefiniti di Cobalt Strike tramite l'analisi dei named pipe
浅析CobaltStrike Beacon Staging Server扫描
Colpire ancora un Cobalt Strike ritirato: uno sguardo a una vulnerabilità legacy
Analizzare Cobalt Strike per divertimento e profitto
Rilevamento dei thread remoti di Cobalt Strike
L'arte e la scienza del rilevamento di Cobalt Strike
Un approccio multi-metodo per identificare i server Cobalt Strike non autorizzati
Come rilevare le attività di Cobalt Strike nell'analisi forense della memoria
Rilevare Cobalt Strike tramite il fingerprinting degli eventi Imageload
L'anatomia di un attacco APT e della configurazione codificata del beacon CobaltStrike

6. Video su CobaltStrike

0x02 Profili C2| Tipo | Nome | Descrizione | Popolarità | Linguaggio |

|:---:|:---:|:---:|:---:|:---:| | ALL | Malleable-C2-Profiles | Profili Malleable C2 ufficiali | | | | ALL | Malleable-C2-Randomizer | Questo script randomizza i profili Malleable C2 di Cobalt Strike attraverso l'uso di un metalinguaggio | | | | ALL | malleable-c2 | Guida di progettazione e riferimento per Cobalt Strike Malleable C2 | | | | ALL | Malleable-C2-Profiles | Una raccolta di profili utilizzati in Cobalt Strike e nel listener Malleable C2 di Empire. | | | | ALL | random_c2_profile | Generatore casuale di profili C2 | | | | ALL | | SourcePoint è un generatore di profili C2 per server di comando e controllo Cobalt Strike progettato per garantire l'evasione. | | | | ALL | | C2concealer è uno strumento da riga di comando che genera profili malleable C2 casuali per l'uso in Cobalt Strike. | | | | ALL | | Una raccolta di profili Malleable C2 di Cobalt Strike. Ora include il profilo Windows Updates | | | | ALL | | Cobalt Strike - Profili Malleable C2. Una raccolta di profili utilizzati in diversi progetti che usano Cobalt Strike | | | | ALL | | Un interprete Python per i profili Malleable C2 di Cobalt Strike che consente di analizzarli, modificarli, crearli programmaticamente e validarne la sintassi. | | | | ALL | | Profili di configurazione Malleable C2 di Cobalt Strike, progettati per contrastare l'analisi del traffico | | | | ALL | | Profilo CobaltStrike | | | | ALL | | Un progetto di ricerca derivato. Collaborazione Cobalt Strike x Notion 2022. | | | | ALL | | Questa è una rapida utility Python che ho scritto per trasformare le richieste HTTP di burp suite in profili Malleable C2 di Cobalt Strike. | | | | ALL | | Analizza automaticamente i profili Malleable C2 nel codice sorgente della libreria di rebinding di CrossC2 | | | | ALL | | Parser e assembler di profili Malleable C2 scritto in golang | | | | ALL | | Un elenco di strumenti Python per aiutare a creare un profilo Cobalt Strike sicuro dal punto di vista OPSEC. | | |

0x03 BOF| Tipo | Nome | Descrizione | Popolarità | Linguaggio |

|:---:|:---:|:---:|:---:|:---:| | ALL | BOF_Collection | Vari BOF per Cobalt Strike | | | | ALL | cobaltstrike-bof-toolset | Raccolta di strumenti BOF utilizzati in Cobalt Strike trovati in rete. | | | | ALL | Situational Awareness BOF | Il suo obiettivo più ampio è fornire un esempio di codice e un flusso di lavoro per consentire ad altri di iniziare a creare più file BOF. Blog | | | | ALL | bof_helper | Assistente per la creazione di Beacon Object File (BOF) | | | | ALL | BOF-DLL-Inject | BOF DLL Inject è un Beacon Object File personalizzato che utilizza l'iniezione manuale di DLL per migrare una DLL in un processo interamente dalla memoria. | | | | ALL | | Il BOF genera un processo a scelta sotto un processo padre specificato e inietta un file shellcode fornito tramite QueueUserAPC(). | | | | ALL | | Beacon Object File (BOF) per CobaltStrike che acquisisce i privilegi necessari ed esegue il dump delle chiavi di registro SAM - SYSTEM - SECURITY per l'analisi offline e l'estrazione degli hash. | | | | ALL | | Movimento laterale DCOM; Movimento laterale WMI - Win32_Process Create; Movimento laterale WMI - Sottoscrizione eventi | | | | ALL | | Patching ETW; Utility funzioni API; Iniezione di shellcode tramite syscall | | | | ALL | | Questo repository è un'aggiunta al nostro SA Repo rilasciato in precedenza. La nostra posizione iniziale era di non rilasciare i nostri strumenti che modificano altri sistemi, ma di fornire solo strumenti di raccolta informazioni già pronti all'uso. | | | | ALL | | Questo repository contiene una raccolta di strumenti che si integrano con Cobalt Strike tramite Beacon Object Files (BOF). | | | | Dev | | Questo è un progetto modello per la creazione di BOF di Cobalt Strike in Visual Studio. | | | | Dev | | Strstr con needle e nome file forniti dall'utente, come BOF. | | | | Dev | | Implementazione di Quser in Beacon Object Files tramite Windows API | | | | Dev | | Un runtime .NET per i Beacon Object Files di Cobalt Strike. | | | | Dev | | Il formato, descritto da Mudge , richiede che l'operatore costruisca un file COFF utilizzando un compilatore mingw-w64 o il compilatore msvc che contenga un nome di simbolo indicante il suo entry point e le chiamate di funzione sottostanti. | | | | Dev | | Dimostra la possibilità di utilizzare facilmente le syscall tramite assembly inline nei BOF. | | | | Dev | | Un Beacon Object File proof of concept per Cobalt Strike che utilizza chiamate di sistema dirette per abilitare la cache delle credenziali WDigest e aggirare Credential Guard (se abilitato). | | | | Dev | | Questo repository intende servire a due scopi. In primo luogo fornisce un buon set di comandi di base per la situational awareness implementati in BOF. Ciò consente di eseguire alcuni controlli su un host prima di iniziare a eseguire comandi che potrebbero essere più invasivi. | | | | Dev | | Implementazione personalizzata della funzione MiniDumpWriteDump di DbgHelp. Utilizza syscall statiche per sostituire funzioni di basso livello come NtReadVirtualMemory. | | | | Dev | | Questo è un loader COFF rapido e sporco (noto anche come Beacon Object Files). Attualmente può eseguire BOF non modificati, quindi può essere usato per test senza un agente CS in esecuzione. L'unica eccezione è che le funzioni di compatibilità beacon relative all'iniezione sono vuote. | | | | Dev | | Implementazione BOF della ricerca di @jonasLyk e del PoC abbozzato da @LloydLabs | | | | Dev | | Questo è un BOF per enumerare i file DLL che verranno caricati da un dato file PE. A seconda del numero di argomenti, consente a un operatore di visualizzare un elenco dei file DLL importati previsti oppure le funzioni importate per una DLL prevista. | | | | Dev | | Un modello di Visual Studio utilizzato per creare BOF di Cobalt Strike | | | | Dev | | Progetto C# .NET 5.0 per compilare BOF (Beacon Object Files) in massa, basandosi sul fatto che si trovino tutti in una struttura di directory da qualche parte. | | | | Dev | | Questo è un loader/runner di oggetti ELF in memoria. L'obiettivo è creare un unico loader ELF che possa essere utilizzato per eseguire capacità successive su tutti i sistemi operativi *nix x86_64 e x86. | | | | Dev | | Mi ci sono voluti circa 4 giorni, ma sono riuscito a farlo funzionare... rust core + alloc per i BOF di Cobalt Strike. È molto un PoC, ma mi piacerebbe vedere altri sperimentarci e contribuire. | | | | Dev | | CoffeeLdr è un loader per i cosiddetti Beacon Object Files. Questo progetto può essere utilizzato per testare i Beacon Object Files senza usare il framework Cobalt Strike, oppure per dare a implant personalizzati un modo per eseguire BOF progettati per Cobalt Strike. | | | | Dev | | BOF per Cobalt Strike che utilizza un syscaller ASM personalizzato HalosGate & HellsGate per restituire un elenco di processi. | | | | Dev | | Prende l'originale PPLFault e il DumpShellcode incluso e li combina in un BOF destinato a Cobalt Strike. | | | | Dev | | Implementazione di Winsock per Cobalt Strike. Utilizzato per comunicare con la vittima tramite winsock invece dei metodi tradizionali. | | | | Dev | | Un modello di Beacon Object File (BOF) per Visual Studio. | | | | Auxiliary | | Un BOF per determinare le esclusioni di Windows Defender. | | | | Auxiliary | | BOF per screenshot per Cobalt Strike. Tutto in memoria e senza spawn/inject. | | | | Auxiliary | | Repository di Beacon Object File per il roasting di Active Directory. | | | | Auxiliary | | BOF per Cobalt Strike per identificare i processi con CLR caricato, con l'obiettivo di individuare candidati SpawnTo / iniezione. | | | | Auxiliary | | Semplice BOF per leggere il livello di protezione di un processo. | | | | Auxiliary | | Iniezione di processi tramite mapping di sezioni (secinject): BOF per Cobalt Strike | | | | Auxiliary | | Un progetto Beacon Object File (BOF) per Cobalt Strike che utilizza chiamate di sistema dirette per enumerare i processi alla ricerca di moduli o handle di processo specifici. | | | | Auxiliary | | Inject-assembly: esegue .NET in un processo esistente. Questo strumento è un'alternativa alla tradizionale esecuzione fork and run per Cobalt Strike. Il loader può essere iniettato in qualsiasi processo, incluso il Beacon corrente. Gli assembly a lunga esecuzione continuano a funzionare e inviano l'output al Beacon, in modo simile al comportamento di execute-assembly. | | | | Auxiliary | | WhereAmiI - Beacon Object File (BOF) per Cobalt Strike che usa shellcode scritto a mano per restituire le stringhe Environment del processo senza toccare alcuna DLL. | | | Auxiliary | | Piccolo progetto per determinare se il servizio Web Client (WebDAV) è in esecuzione su un sistema remoto, verificando la presenza della named pipe DAV RPC SERVICE. | | | | Auxiliary | | Implementazione BOF dello strumento Chlonium per eseguire il dump della Master Key di Chrome e scaricare i file Cookie/Login Data | | | | Auxiliary | | BOF per chiamare la funzione SetThreadExecutionState e impedire all'host di andare in sospensione | | | | Auxiliary | | Beacon Object File per eseguire il dump della memoria di LSASS ottenendo un handle snapshot. Esegue MiniDumpWriteDump/NtReadVirtualMemory su uno snapshot di LSASS invece che su LSASS stesso, eludendo così alcuni AV/EDR. | | | | Auxiliary | | Ottiene i privilegi di sistema duplicando il token di winlogon. | | | | Auxiliary | | Dump silenzioso di LSASS | | | | Auxiliary | | Questo è un Beacon Object File per aggiornare le DLL e rimuovere i loro hook. | | | | Auxiliary | | Questo script aggressor utilizza il campo note di un beacon per indicare lo stato di salute di un beacon. | | | | Auxiliary | | Un beacon object file per l'uso con Cobalt Strike v4.1+. Supporta la query, l'aggiunta e l'eliminazione di chiavi/valori di registro locali e remoti. | | | | Auxiliary | | InlineExecute-Assembly è un Beacon Object File (BOF) proof of concept che consente ai professionisti della sicurezza di eseguire assembly .NET in-process come alternativa al tradizionale modulo execute-assembly fork and run di Cobalt Strike | | | | Auxiliary | | CredBandit è un Beacon Object File (BOF) proof of concept che utilizza syscall x64 statiche per eseguire un dump completo in memoria di un processo e inviarlo attraverso il canale di comunicazione Beacon già esistente. Il dump della memoria viene eseguito utilizzando le transazioni NTFS, che consentono di scrivere il dump in memoria, e l'API MiniDumpWriteDump è stata sostituita con un adattamento dell'implementazione di MiniDumpWriteDump di ReactOS. | | | | Auxiliary | | Beacon Object File (BOF) per Cobalt Strike che aggira AMSI in un processo remoto tramite iniezione di codice. | | | | Auxiliary | | Beacon Object File (BOF) per Cobalt Strike che aggira AMSI in un processo remoto tramite iniezione di codice. | | | | Auxiliary | | Beacon Object File (BOF) proof of concept che tenta di rilevare gli hook in userland installati da AV/EDR | | | | Auxiliary | | Rimuove gli hook API da un processo Beacon. | | | | Auxiliary | | Beacon Object File per Cobalt Strike "Where Am I?" | | | | Auxiliary | | Tecnica EarlyBird di process hollowing (BOF): genera un processo in stato sospeso, inietta lo shellcode, dirotta il thread principale con APC ed esegue lo shellcode | | | | Auxiliary | | send_shellcode_via_pipe;cat;wts_enum_remote_processes | | | | Auxiliary | | SCShell è uno strumento di movimento laterale fileless che si basa su ChangeServiceConfigA per eseguire comandi. | | | | Auxiliary | | Qualche tempo fa ho creato CSharpWinRM, che era decente, ma volevo esaminare a fondo l'API C++ di WinRM. | | | | Auxiliary | | Dump di LSASS con handle esterni | | | | Auxiliary | | questo è un BOF completo per eseguire il dump di un processo protetto arbitrario (LSASS). | | | | Auxiliary | | PortBender è un'utilità di redirezione delle porte TCP che consente a un operatore red team di reindirizzare il traffico in entrata destinato a una porta TCP (ad es., 445/TCP) verso un'altra porta TCP (ad es., 8445/TCP). | | | | Auxiliary | | Strumento PoC per convertire un BOF di Cobalt Strike in shellcode grezzo. | | | | Auxiliary | | BOF per l'enumerazione dell'ordine di ricerca del DLL hijacking | | | | Auxiliary | | Strumento per lavorare con le chiamate di sistema dirette nei Beacon Object Files (BOF) di Cobalt Strike tramite Syswhispers2 | | | | Auxiliary | | Utilizza le API di Windows per aggiungere utenti, utile quando net non è disponibile | | | | Auxiliary | | Scrivere BOF in linguaggio Nim | | | | Auxiliary | | Carica qualsiasi Beacon Object File utilizzando PowerShell! | | | | Auxiliary | | Cobalt-clip è un componente aggiuntivo per gli appunti di Cobalt Strike per interagire con la clipboard. Con questo puoi eseguire il dump, modificare e monitorare il contenuto di una clipboard. | | | | Auxiliary | | Carica ed esegue file COFF e BOF di Cobalt Strike in memoria | | | | Auxiliary | | Carica ed esegue file COFF e BOF di Cobalt Strike in memoria | | | | Auxiliary | | Un file BOF solo syscall pensato per recuperare gli attributi di protezione dei processi, limitato a quelli che gli operatori Red Team e i pentester trovano comunemente interessanti. | | | | Auxiliary | | Un file BOF (quasi) solo syscall pensato per aggiungere o rimuovere privilegi del token nel contesto del processo corrente. | | | | Auxiliary | | Inietta il bypass di ETW in un processo remoto tramite syscall (HellsGate|HalosGate) | | | | Auxiliary | | PIC your Katz! Dì ciao a HandleKatz, il nostro dumper di LSASS position independent che abusa di handle clonati, chiamate di sistema dirette e una versione modificata di minidumpwritedump() | | | | Auxiliary | | tgtdelegation è un Beacon Object File (BOF) per ottenere un TGT utilizzabile tramite il "trucco della delega TGT" | | | | Auxiliary | | Un Beacon Object File che crea un minidump del processo LSASS. | | | | Auxiliary | | Beacon Object File (BOF) per Cobalt Strike per elencare le pipe attive e restituire il proprietario e le autorizzazioni dell'elenco di controllo accessi discrezionale (DACL). | | | | Auxiliary | | BOF per Cobalt Strike che aggiunge un utente amministratore | | | | Auxiliary | | Tecnica di movimento laterale che abusa del servizio Windows Perception Simulation Service per ottenere un DLL hijacking | | | | Auxiliary | | Beacon Object File (BOF) proof of concept che tenta di rilevare gli hook in userland installati da AV/EDR | | | | Auxiliary | | Il Beacon Object File MemReader consente di cercare ed estrarre stringhe specifiche dalla memoria di un processo target e di restituire i risultati all'output del beacon. | | | | Auxiliary | | Non è il codice più elegante, ma è breve, essenziale e ti consente di leggere il contenuto dei file nell'output del beacon. | | | | Auxiliary | | Implementazione BOF dello strumento Chlonium per eseguire il dump della Master Key di Chrome/Edge e scaricare i file Cookie/Login Data | | | | Auxiliary | | Beacon Object File per analizzare un Domain Controller per verificare se LdapEnforceChannelBinding o LdapServerIntegrity sono stati modificati per mitigare gli attacchi di relay. | | | | Auxiliary | | Questo strumento usa LDAP per verificare in un dominio le impostazioni di delega Kerberos abusabili note. Attualmente supporta i controlli RBCD, Constrained, Constrained con transizione di protocollo e delega non vincolata. | | | | Auxiliary | | Uno strumento per eseguire file oggetto, principalmente beacon object file (BOF), in .NET. | | | | Auxiliary | | Implementazione Beacon Object File del KillDefender di pwn1sher. | | | | Auxiliary | | TokenStrip è un'implementazione Beacon Object File del progetto KillDefender di pwn1sher che utilizza syscall tramite InlineWhispers. | | | | Auxiliary | | Beacon Object File (BOF) per Cobalt Strike che utilizza l'API WinStationConnect per eseguire l'hijacking di sessioni RDP locali/remote. | | | | Auxiliary | | Beacon Object File (BOF) per Cobalt Strike che utilizza l'API WinStationConnect per eseguire l'hijacking di sessioni RDP locali/remote. | | | | Auxiliary | | Beacon Object File (BOF) per Cobalt Strike che utilizza l'API WinStationConnect per eseguire l'hijacking di sessioni RDP locali/remote. | | | | Auxiliary | | BOF che combina KillDefender e Backstab. | | | | Auxiliary | | Questo Beacon Object File (BOF) crea uno storage in memoria per token di accesso Windows rubati/duplicati. | | | | Auxiliary | | Identifica le regole ASR, le azioni e le posizioni delle esclusioni. | | | | Auxiliary | | Implementazione BOF del progetto ThreadlessInject di @. Una nuova tecnica di iniezione nei processi senza creazione di thread, presentata al BSides Cymru 2023. | | | | Auxiliary | | Esegue eseguibili Windows non gestiti nei Beacon di CobaltStrike. Ciò consente agli operatori di usare molti strumenti di terze parti (Mimikatz, Dsquery, strumenti Sysinternals, ecc.) senza doverli scrivere su disco, riformattarli in codice position independent usando uno strumento come Donut o creare un nuovo processo per eseguirli. | | | | Auxiliary | | Si iscrive alle notifiche WNF per alcuni secondi. && Inserisce una backdoor nell'SDDL di SCManager. | | | | Auxiliary | | Esegue password spray basato su LDAP o Kerberos utilizzando l'API Windows LogonUserSSPI. Salta account disabilitati, account bloccati e BadPwdCount elevato (se specificato). | | | | Auxiliary | | Raccolta di credenziali tramite CredUIPromptForWindowsCredentials | | | | Auxiliary | | File C o BOF per estrarre la master key WebKit e decrittare i cookie utente. Il codice C può essere usato per compilare un eseguibile o uno script BOF per Cobalt Strike. | | | | Auxiliary | | Una funzionalità alternativa per gli screenshot in Cobalt Strike che usa WinAPI e non esegue fork & run. Screenshot salvato in memoria. | | | | Auxiliary | | Acquisisce uno screenshot senza iniezione per Cobalt Strike. Ho apportato solo piccole ottimizzazioni al codice esistente e aggiunto il supporto per ottenere uno screenshot completo quando è attivo lo scaling globale di Windows. | | | | Auxiliary | | Questo BOF può essere utilizzato per elevare il beacon corrente a SYSTEM e ottenere il privilegio del gruppo TrustedInstaller. L'impersonificazione viene eseguita tramite l'API SetThreadToken. | | | | Auxiliary | | Hidden Desktop (spesso chiamato HVNC) è uno strumento che consente agli operatori di interagire con una sessione desktop remota senza che l'utente se ne accorga. | | | | Auxiliary | | DropSpawn è un BOF per CobaltStrike usato per generare Beacon aggiuntivi tramite un metodo relativamente sconosciuto di DLL hijacking. Funziona x86-x86, x64-x64 e x86-x64/viceversa. Utilizzalo come alternativa all'iniezione di processo. | | | | Auxiliary | | File COFF (BOF) per la gestione dei ticket Kerberos. | | | | Auxiliary | | Elimina il file indipendentemente dal fatto che l'handle sia in uso, tramite SetFileInformationByHandle | | | | Auxiliary | | File di test BOF per ottenere informazioni da WeChat, supporta solo gli offset della versione 3.9.6.33 | | | | Auxiliary | | Questo repository contiene due applicazioni. Una è un beacon object file, utilizzato per recuperare la stringa di autenticazione, nota anche come invito. L'altra è un programma con interfaccia grafica che può essere eseguito sul sistema dell'operatore dietro un proxy SOCKS per connettersi alla sessione desktop remota. | | | | Auxiliary | | I dati di SharpHound (file di test, json, zip, file cache) non verranno scritti su disco ma inviati solo ai download di Cobalt Strike tramite la libreria BOF.NET. | | | | Exploit | | LPE SMBGhost | | | | Exploit | | ZeroLogon | | | | Exploit | | Base Beacon Object File (BOF) per Cobalt Strike (CS) per lo sfruttamento del kernel tramite CVE-2021-21551. | | | | Exploit | | PrivKit è un semplice beacon object file che rileva vulnerabilità di privilege escalation causate da configurazioni errate su sistemi Windows. | | | | Exploit | | Informazioni BOF armato per CobaltStrike per la LPE di Windows Error Reporting CVE-2023-36874. | | | | Persistence | | BOF per Cobalt Strike che genera un processo sacrificabile, vi inietta lo shellcode ed esegue il payload. Progettato per eludere gli hook EDR/UserLand generando un processo sacrificabile con Arbitrary Code Guard (ACG), BlockDll e spoofing del PPID. | | | | Persistence | | Uno strumento per automatizzare i meccanismi di persistenza comuni. Attualmente supporta Print Monitor (SYSTEM), Time Provider (Network Service), dirottamento dei collegamenti nella cartella Start (User) e Junction Folder (User). | | | | BypassAV | | Beacon Object File (BOF) che inietta shellcode del beacon in un processo remoto, evitando l'uso di API monitorate comuni. | | | | BypassAV | | SigFlip è uno strumento per modificare file PE firmati con Authenticode (exe, dll, sys, ecc.) in modo da non alterare o rompere la firma Authenticode esistente. In altre parole, puoi cambiare checksum/hash del file PE incorporando dati (ad es. shellcode) senza rompere la firma del file, i controlli di integrità o la funzionalità del file PE. | | | | BypassAV | | Reflective Loader definito dall'utente per Cobalt Strike scritto in Assembly e C per capacità di evasione avanzate. | | | | BypassAV | | Risorse del Beacon Object File AddDefenderExclusions. | | | | BypassAV | | Dimostra una tecnica per eseguire BOF in modo furtivo senza esporre Beacon al rilevamento. | | | | BypassUAC | | Implementazione beacon object file per il bypass UAC tramite percorso attendibile. L'eseguibile target verrà chiamato senza coinvolgere "cmd.exe" utilizzando l'oggetto DCOM. | | | | BypassUAC | | Questa è un'implementazione Beacon Object File del bypass UAC tramite deserializzazione di Event Viewer scoperto da @orange_8361 e del PoC messo insieme da CsEnox. | | |### 0x04 Aggressor Script| Type | Name | Description | Popularity | Language | |:---:|:---:|:---:|:---:|:---:| | BypassAV | | Per generare rapidamente eseguibili che bypassano l'antivirus | | | | BypassAV | | Sostanzialmente utilizza lo script ps2exe.ps1 per compilare un exe; solo che, per evitare di operare da riga di comando, lo riscrive come script cna, così da generare rapidamente un eseguibile che bypassa l'antivirus, di soli 50KB. Attualmente supporta i formati exe e ps1. | | | | BypassAV | | BypassAV ShellCode Loader (Cobaltstrike/Metasploit) | | | | BypassAV | | Loader di ShellCode che bypassa l'antivirus per Msf e CobaltStrike | | | | BypassAV | | beacon-c2-go (Cobaltstrike/Metasploit) | | | | BypassAV | | Loader di ShellCode in Python (Cobaltstrike e Metasploit) | | | | BypassAV | | Loader di ShellCode per Cobalt Strike scritto in Golang | | | | BypassAV | | Bypass dell'antivirus per CS, disponibile nelle versioni Python e C | | | | BypassAV | | Generatore di ShellCode per Cobalt Strike. Genera shellcode beacon stageless con metodo di uscita esposto, formattazione aggiuntiva, cifratura, codifica, compressione, output su più righe, ecc. | | | | BypassAV | | Alaris è un nuovo e furtivo loader di shellcode in grado di bypassare la maggior parte dei sistemi EDR attuali (28/02/2021). Utilizza diverse note TTP che aiutano a proteggere il malware e il suo flusso di esecuzione. | | | | BypassAV | | Evasione EDR - Combinazione di SwampThing - TikiTorch | | | | BypassAV | | RAT (Remote Administration Tool) ad attivazione condizionata, VT 6/70, bypassa i principali antivirus nazionali, Defender, Kaspersky e altri. | | | | BypassAV | | ScareCrow è un framework di creazione payload per generare loader da usare con il caricamento laterale (side loading, non injection) in un processo Windows legittimo (bypassando i controlli di Application Whitelisting). | | | | BypassAV | | Un framework per creare bypass basati su COM sfruttando vulnerabilità nei sensori WDAPT di Microsoft. | | | | BypassAV | | Packer PE open source. | | | | BypassAV | | Un semplice packer in Python per bypassare facilmente Windows Defender | | | | BypassAV | | Il parametro -race della compilazione Go permette il bypass totale di VT | | | | BypassAV | | Strumento avanzato di evasione antivirus per operazioni Red Team | | | | BypassAV | | Usa Golang per caricare shellcode di CobaltStrike e Metasploit bypassando l'antivirus; attualmente bypassa Huorong, Avast, Tencent Security Manager, 360 e altri software di sicurezza host. | | | | BypassAV | | Questa repository è un accumulo di snippet di codice per varie tecniche di iniezione di shellcode che utilizzano la fantastica API D/Invoke | | | | BypassAV | | Strumento di generazione di malware Golang che bypassa l'antivirus (lo strumento è destinato solo a sistemi Windows) | | | | BypassAV | | Usa GoBypass per la generazione di payload che bypassano l'antivirus | | | | BypassAV | | CobaltWhispers è uno script aggressor che utilizza una raccolta di Beacon Object Files per Cobalt Strike per eseguire iniezione di processi, persistenza e altro, sfruttando syscall dirette per bypassare EDR/AV. | | | | BypassAV | | UDRL per Cobalt Strike per l'evasione dagli scanner di memoria. | | | | BypassAV | | Termina i processi AV/EDR utilizzando un driver kernel | | | | BypassUAC | | Questo progetto implementa una tecnica di DLL planting per bypassare UAC Always Notify ed eseguire codice in un processo ad alta integrità. | | | | BypassUAC | | Un loader di shellcode per cobaltStrike in grado di bypassare la maggior parte degli AV | | | | Dev | | Questo è un esempio di pattern di codice per l'uso di named pipe per IPC con ReflectiveDll in Cobalt Strike. | | | | Dev | | Titan: una DLL riflessiva generica definita dall'utente per Cobalt Strike. | | | | Dev | | Implementazione del client External C2 in Go per cobalt strike. | | | | Dev | | Beacon CobaltStrike in rust. | | | | Recon | | esegue una rudimentale enumerazione degli host Windows con i comandi integrati di Beacon | | | | Recon | | Script Aggressor per Cobalt Strike che esegue riconoscimento di sistema/AV/EDR. | | | | Recon | | Tutte le funzioni elencate nella pagina about di PowerView sono incluse qui, con tutti gli argomenti per ciascuna funzione. | | | | Recon | | Script Aggressor di PowerView per CobaltStrike | | | | Recon | | Sharphound-Aggressor - un menu utente per l'ingestor SharpHound | | | | Recon | | Strumento di scansione di rete e rilevamento servizi ad alta concorrenza per la raccolta informativa laterale nella rete interna. | | | | Recon | | Scansione porte + rilevamento schede di rete + rilevamento ms17010 | | | | Recon | | LetMeOutSharp tenta di enumerare tutte le configurazioni proxy disponibili e di comunicare con il server Cobalt Strike via HTTP(s) utilizzando le configurazioni proxy identificate. | | | | Recon | | Uno strumento Cobalt Strike per verificare la presenza di password deboli, note o facilmente indovinabili negli account utente di Active Directory. | | | | Recon | | Ladon è uno straordinario strumento di scansione completa multi-thread e plugin-based per penetration test su larga scala; include scansione porte, riconoscimento servizi, asset di rete, brute force delle password, rilevamento vulnerabilità critiche e GetShell con un clic; supporta scansioni batch su segmenti A/B/C e cross-subnet, oltre a scansioni da liste di URL, host e domini. | | | | Recon | | Ladon per Cobalt Strike (kit Ladon) | | | | Recon | | Recon-AD, uno strumento di riconoscimento di Active Directory basato su ADSI e DLL riflessive | | | | Exploit | | Il pesce viene automaticamente issato dopo che la vittima è online su CS / Automatically stop fishing in javascript after the fish is hooked | | | | Exploit | | Phishing XSS, plugin cna con backend PHP per issare la "lenza" | | | | Exploit | | CobaltStrike 3.0+ --> crea vari payload per il Beacon di Cobalt Strike. Formati di payload attuali | | | | Exploit | | Framework CrossC2 - Genera beacon cross-platform per CobaltStrike | | | | Exploit | | CrossC2Kit fornisce alcune interfacce richiamabili dagli utenti per manipolare la sessione Beacon di CrossC2, estendendo così le funzionalità di Cobalt Strike. | | | | Exploit | | Strumento di exploit e scanner per ms17-010. | | | | Exploit | | Versione standalone del mio payload PowerShell AES per Cobalt Strike. | | | | Exploit | | CobaltStrike 4.x --> SweetPotato | | | | Exploit | | Exploit per l'elevazione dei privilegi | | | | Exploit | | CVE-2018-4878 | | | | Exploit | | L'unico script attualmente pubblico è UACBypass, il cui readme si trova nella relativa cartella. | | | | Exploit | | Vulnerabilità di escalation locale dei privilegi basata su | | | | Exploit | | configura il nostro attacco Web Delivery stage(d) | | | | Exploit | | Implementa il Beacon di CobaltStrike in Go (utilizzabile su Linux) | | | | Exploit | | geacon_pro è un Beacon CobaltStrike che bypassa l'antivirus, scritto in Golang e basato sul progetto geacon. | | | | Exploit | | Beacon CobaltStrike stageless http(s) implementato in Golang, con numerose estensioni rispetto al progetto geacon | | | | Exploit | | SpoolSystem è uno script CNA per Cobalt Strike che usa il trucco dell'impersonificazione della named pipe del Print Spooler per ottenere privilegi SYSTEM. | | | | Exploit | | Plugin di caricamento riflessivo per CS per la vulnerabilità LPE PrintNightMare. Pronto all'uso; carica in memoria e offusca il nome del driver caricato per bypassare Defender/EDR | | | | Exploit | | KRBTGS è uno strumento post-exploitation per Cobalt Strike che recupera un TGT funzionante per l'utente corrente sotto cui Beacon sta girando, o che sta impersonando. L'attacco non richiede la password dell'utente e presuppone solo che l'utente in uso sia in un ambiente domain-joined. Tenta di indovinare il tipo di cifratura scegliendo da quello più forte a quello più debole. Il file .ccache risultante può essere convertito in formato KIRBI per essere importato in altri Beacon, o passato ad altri toolset come gli script di esempio di Impacket per portare avanti le attività post-exploitation. | | | | Exploit | | Implementazione della DLL riflessiva di PrintSpoofer, da usare insieme a Cobalt Strike | | | | Persistence | | Script Aggressor per la persistenza | | | | Persistence | | Abbandona la funzione winexec e usa shellexecute; il flusso del programma non si blocca più, risultando davvero impercettibile. | | | | Persistence | | TikiTorch segue lo stesso concetto di , ma dispone di più tipi di iniezione di processi, selezionabili dall'utente in fase di compilazione. | | | | Persistence | | Un launcher di shellcode in JavaScript e VBScript. Avvia una versione a 32 bit del binario specificato e vi inietta lo shellcode. | | | | Persistence | | Carica frpc e lo esegue | | | | Persistence | | | | | | Persistence | | Automatizza la generazione di payload usando la tecnica GadgetToJScript. | | | | Persistence | | Versione modificata di frp 0.33, bypassa il rilevamento del traffico, bypassa l'antivirus, supporta il caricamento di file di configurazione remoti; plugin utilizzabile direttamente con CS | | | | Persistence | | Plugin di mantenimento automatico dei permessi al momento dell'arrivo su CobaltStrike | | | | Persistence | | L'utente genera un payload Web Delivery tramite cobalt strike, quindi carica questo script per ottenere l'avvio automatico | | | | Persistence | | Script CobaltStrike che usa varie WinAPI per il mantenimento dei permessi, incluse API per configurare servizi di sistema, pianificare attività, gestire utenti, ecc. | | | | Persistence | | Ottiene l'esecuzione tramite un layout di tastiera personalizzato, testato su Windows 11 Home versione 21H2 | | | | Persistence | | Persistenza scrivendo/leggendo shellcode dal registro eventi. | | | | Auxiliary | | Elenca/legge il contenuto di file Zip (in memoria e senza estrazione) usando Execute-Assembly di CobaltStrike | | | | Auxiliary | | Legge fogli di calcolo Excel (XLS/XLSX) usando Execute-Assembly di Cobalt Strike | | | | Auxiliary | | Legge il contenuto di file DOCX usando Execute-Assembly di Cobalt Strike | | | | Auxiliary | | Alternativa in C# al comando linux "cat"... Stampa il contenuto dei file sulla console. Da usare con Execute-Assembly di Cobalt Strike | | | | Auxiliary | | Consente la rinomina programmatica delle tab come preferisci, con la possibilità di attivare/disattivare la cronologia come preferisci. | | | | Auxiliary | | LiquidSnake è uno strumento che consente agli operatori di eseguire movimento laterale fileless usando WMI Event Subscriptions e GadgetToJScript | | | | Auxiliary | | TaskShell - operazioni automatizzate relative alle attività pianificate | | | | Auxiliary | | 1. Genera un beacon per un listener specifico; 2. Ospita il file in una posizione specificata; 3. Monitora il weblog per il recupero della posizione specificata; | | | | Auxiliary | | Uno script Cobalt Strike per la generazione di payload con ScareCrow. Funziona con tutti i Loader. | | | | Auxiliary | | CreateTicket; Seatbelt; SharpHound | | | | Auxiliary | | Compilazione in tempo reale di binari exe/dll dotnet v35/v40 + offuscamento con ConfuserEx sul tuo server linux cobalt strike. | | | | Auxiliary | | Plugin Cobalt Strike per l'invio di notifiche email quando un host si connette | | | | Auxiliary | | Notifiche per l'arrivo di CobaltStrike: bot per chat di gruppo Feishu, notifiche Server酱 | | | | Auxiliary | | Utilizza le attività pianificate per il movimento laterale; richiede la comunicazione con le porte 135 e 445 | | | | Auxiliary | | Strumento HackBrowserData in C#, comodo per il caricamento diretto in memoria in CS | | | | Auxiliary | | Modulo riflessivo di HackBrowserData | | | | Auxiliary | | Script Aggressor standalone per il logging delle operazioni di Cobalt Strike, per Ghostwriter 2.0+ | | | | Auxiliary | | Cobalt Strike samdump | | | | Auxiliary | | Strumento per il dump del processo lsass in grado di bypassare antivirus come Kaspersky, Hejing, Defender, ecc. | | | | Auxiliary | | Compilazione in tempo reale di binari exe/dll dotnet v35/v40 + offuscamento con ConfuserEx sul tuo server linux cobalt strike. | | | | Auxiliary | | SharpCompile è uno script aggressor per Cobalt Strike che consente di compilare ed eseguire C# in tempo reale. | | | | Auxiliary | | L'uso di QRD consente a un operatore di caratterizzare rapidamente quali processi sono noti e quali sconosciuti su un host, tramite colori e note sui processi visualizzati. | | | | Auxiliary | | Questo strumento realizza "net user" tramite l'API di Windows. L'ho creato per essere usato con execute-assembly di Cobalt Strike, quindi può caricare in memoria gli utenti da aggiungere | | | | Auxiliary | | In C++: enumera la lista dei dischi, attraversa il disco specificato per cercare file di determinati tipi, inclusa la versione DLL riflessiva. | | | | Auxiliary | | Questo script percorre gli stack dei thread del processo Event Log Service (specifico svchost.exe) e identifica i thread del registro eventi per terminare i thread del servizio Event Log. In questo modo il sistema non è in grado di raccogliere i log e, allo stesso tempo, il servizio Event Log risulta ancora in esecuzione. | | | | Auxiliary | | NoPowerShell è uno strumento implementato in C# che supporta l'esecuzione di comandi simili a PowerShell rimanendo invisibile a qualsiasi meccanismo di logging PowerShell. | | | | Auxiliary | | RDP EventLog Master | | | | Auxiliary | | Esecuzione dei percorsi di attacco di Bloodhound per Cobalt Strike | | | | Auxiliary | | Plugin per le notifiche WeChat quando un host arriva online, tramite Server酱 di WeChat | | | | Auxiliary | | promemoria via slack e webhooks | | | | Auxiliary | | rilevamento di powershell sui target (rileva le informazioni relative a powershell sul target corrispondente) | | | | Auxiliary | | Implementa un canale di eventi e una coda di lavori usando Redis per Cobalt Strike. | | | | Auxiliary | | DLL riflessiva per Cobalt Strike per ottenere il contenuto degli appunti. Il codice deriva fondamentalmente da ReflectiveDLLInjection | | | | Auxiliary | | Evidenzia in rosso i processi AV durante la visualizzazione dei processi | | | | Auxiliary | | Beaconator è uno script aggressor per Cobalt Strike usato per generare uno shellcode stageless grezzo e impacchettarlo usando PEzor. | | | | Auxiliary | | CobaltStrike External C2 per Websockets | | | | Auxiliary | | Parser Python per la configurazione del Beacon di CobaltStrike | | | | Auxiliary | | FakeLogonScreen è un'utility per falsificare la schermata di accesso di Windows al fine di ottenere la password dell'utente. | | | | Auxiliary | | Sincronizza bloodhound con cobaltstrike. | | | | Auxiliary | | Script CobaltStrike per assistere nell'estrazione delle password del browser 360 Safe; scarica il database del browser e la chiave di registrazione per decifrare offline le password del browser. | | | | Auxiliary | | Analizza i programmi che hanno salvato password su sistemi Windows, tra cui: Navicat, TeamViewer, FileZilla, WinSCP e i prodotti della serie Xmanager (Xshell, Xftp). | | | | Auxiliary | | Recupera un elenco degli artefatti disponibili dal repository GitHub configurato. | | | | Auxiliary | | ExecuteAssembly è un'alternativa al execute-assembly di CS, costruita in C/C++; può essere usata per caricare/iniettare assembly .NET riutilizzando i moduli CLR/AppDomainManager già caricati nel processo host (spawnto), facendo lo stomping dei DOS header dei loader/assembly .NET, scollegando i moduli correlati a .NET, bypassando ETW+AMSI, evitando gli hook EDR tramite syscall NT statiche (x64) e nascondendo le importazioni risolvendo dinamicamente le API con l'algoritmo di hashing superfasthash. | | | | Auxiliary | | aggrokatz è un'estensione plugin Aggressor per CobaltStrike che consente a pypykatz di interfacciarsi con i beacon in remoto. | | | | Auxiliary | | Questo strumento CobaltStrike consente ai Red team di comprimere file e cartelle da percorsi locali e UNC. Può essere utile in situazioni in cui è necessario esfiltrare file o cartelle di grandi dimensioni. Dopo la compressione di un file o una cartella viene creato un file zip con nome casuale nella cartella temp dell'utente. | | | | Auxiliary | | Montando lo script sul server/client CobaltStike, le informazioni sugli host che si connettono vengono notificate su WeChat tramite Server 酱 | | | | Auxiliary | | Usa PushPlus, gratuito e con supporto ai messaggi modello WeChat, per le notifiche degli host che si connettono | | | | Auxiliary | | Script Aggressor che elenca i comandi disponibili del beacon di Cobalt Strike e li colora in base al loro tipo | | | | Auxiliary | | Questo cna contiene messaggi di errore per i codici di errore Win32, le definizioni HRESULT e le definizioni NTSTATUS. Può essere utile per chi opera da client linux/mac senza accesso al programma net.exe, o come modo rapido per consultare i codici hresult/ntstatus senza dover fare una ricerca su Google. | | | | Auxiliary | | Bypass stabile di PeSieve e bypass stabile di Moneta. | | | | Auxiliary | | Pensato come meccanismo di controllo finemente calibrato per sincronizzare i file dalle voci Downloads di Cobalt Strike nel data model | | | | Auxiliary | | Aggressorscript che trasforma il client aggressor headless in un client cobalt strike (quasi) completamente funzionante. | | | | Auxiliary | | Penetrazione della rete interna\strumenti Red Team\caricamento in memoria C#\cobaltstrike | | | | Auxiliary | | Un piccolo script Aggressor per aiutare i Red Team a identificare processi estranei su una macchina host | | | | Auxiliary | | Script Aggressor per Cobalt Strike per automatizzare l'enumerazione di host e dominio. | | | | Synthesis | | AM0N-Eye è una raccolta di alcuni degli script più importanti scritti specificamente per Cobaltsetrike, oltre al resto dei file, come quelli per la modifica di colori e immagini. | | | | Synthesis | | Una raccolta di piccoli snippet Aggressor casuali che non meritano una repository dedicata | | | | Synthesis | | CobaltStrike 4.x --> Erebus, plugin per test post-exploitation su CobaltStrike | | | | Synthesis | | Raccolta di plugin per test post-exploitation su CobaltStrike | | | | Synthesis | | Raccolta di plugin per test post-exploitation su CobaltStrike | | | | Synthesis | | Script Aggressor per l'uso con Cobalt Strike 3.0+ | | | | Synthesis | | RedTeamTools per l'uso con Cobalt Strike | | | | Synthesis | |Script Aggressor per Cobalt Strike 4.0+ | | | | Synthesis | |Lo script aggressor gestisce la creazione del payload leggendo i file template per uno specifico tipo di esecuzione. | | | | Synthesis | |Lo script aggressor gestisce la creazione del payload leggendo i file template per uno specifico tipo di esecuzione. | | | | Synthesis | | AggressorScripts | | | | Synthesis | | Raccolta di script Aggressor per Cobalt Strike 3.0+ provenienti da più fonti | | | | Synthesis | | AggressorScripts | | | | Synthesis | | Contiene un insieme di script Aggressor per CobaltStrike | | | | Synthesis | | AggressorAssessor | | | | Synthesis | | AggressorAssessor | | | | Synthesis | | Raccolta di script Aggressor per Cobalt Strike | | | | Synthesis | | Framework di automazione Red Team basato sulla piattaforma cobalt strike | | | | Synthesis | | Questa è solo una raccolta casuale di script Aggressor che ho scritto per Cobalt Strike 3.x. (tra questi c'è uno script di debug abbastanza utile) | | | | Synthesis | | Raccolta di script Aggressor per Cobalt Strike (include principalmente script per l'elevazione dei privilegi e il mantenimento dei permessi) | | | | Synthesis | | Script Aggressor, Kit, Malleable C2 Profiles, External C2 e altro | | | | Synthesis | | Raccolta di vari script aggressor per Cobalt Strike realizzati da persone fantastiche. Aggiornerò sicuramente questa repo con i crediti a ciascuna persona. | | | | Synthesis | | googlesearch.profile e script relativi ad AD. | | | | Synthesis | | Cobalt Strike 3.13 Arsenal Kit | | | | Synthesis | | La mia raccolta di script Aggressor testati sul campo per Cobalt Strike 4.0+ | | | | Synthesis | | Una raccolta di script utili per Cobalt Strike. (powershell.cna; bot.cna; dcom_lateral_movement.cna; ElevateKit) | | | | Synthesis | | creazione di tunnel con netsh; reindirizzamento predefinito modificato su bit.ly verso Mcdonald's; uso di powershell per terminare il processo padre; | | | | Synthesis | | Una raccolta di script - da varie fonti - consultare il singolo script per maggiori informazioni. | | | | Synthesis | | Evidenzia i processi selezionati dal comando ps in beacon; carica vari alias in beacon; imposta alcuni default per script da usare successivamente.. | | | | Synthesis | | Suite completa di script ausiliari, dalla generazione del C2 al movimento laterale | | | | Synthesis | | Raccolta di fantastici script Aggressor per Cobalt Strike. Tutto il merito va agli autori | | | | Synthesis | | La raccolta di script aggressor cobaltstrike testati. | | | | Synthesis | | AggressorScripts per CobaltStrike per i pigri | | | | Synthesis | | Una raccolta di script Aggressor/Sleep che ho creato per scopi operativi. | | | | Synthesis | | Integra vari strumenti per la rete interna come SharpHound, SharpRDP, SharpWMI, ecc., e usa AggressorScripts per costruire workflow | | | | Synthesis | | Raccolta di plugin con funzioni quali localizzazione di amministratori di dominio, raccolta informazioni di dominio, mantenimento dei permessi, scansione della rete interna, dump degli hash dei database, ricerca file nella rete interna con Everything | | | | Synthesis | | Raccolta di plugin compatibili con CobaltStrike 4.0 | | | | Synthesis | | Il contenuto include movimento laterale, cattura password, elevazione dei privilegi, mantenimento dei permessi, ecc.; nel limite del possibile organizza le cose comunemente usate nella penetrazione della rete interna, per comodità d'uso | | | | Synthesis | | Un progetto che raccoglie plugin di terze parti per Cobaltstrike, in continuo aggiornamento. | | | | Synthesis | | terze parti --> vnc_x86_dll e vnc_x64_dll | | | | Synthesis | | Raccolta di plugin per la penetrazione della rete interna compatibili con Cobalt Strike 3.x e 4.x | | | | Synthesis | | Importa lo script PowerView e funzioni di uso comune | | |

Awesome-CobaltStrike

Più Popolari