BeaconHunter

C#で構築されたETWトレーシングを利用した、動作ベースの監視およびハンティングツール。ブルーチームはこのツールを使用して、潜在的なCobalt Strikeビーコンを検出・対応できます。レッドチームはこのツールを使用して、ETWバイパスを研究し、ビーコンのように振る舞う新しいプロセスを発見できます。

著者: Andrew Oliveau (@AndrewOliveau)

TL;DR

良性プロセスに注入されたビーコンインプラントは、Wait:DelayExecution 状態のスレッド内に存在します（おそらくCobalt Strikeのsleepに関連）。Wait:DelayExecution 状態のスレッドを含むすべてのプロセスを検出します。次に、ETWトレーシングを活用して、不審なスレッドアクティビティを具体的に監視します：

• HTTP/HTTPSコールバック
• DNSクエリ
• ファイルシステム (cd、ls、upload、rm)
• プロセス終了 (kill)
• シェルコマンド (run、execute)

不審な動作をスコアリングします。ログを記録し、表示し、それらに対してアクションを実行します。

ビルド / インストール

プリコンパイル済み

リリース

または git clone を実行し、Release フォルダに移動します。

.NET Framework バージョン

4.5

ナゲット:

ツール -> NuGet パッケージ マネージャー -> パッケージ マネージャー コンソール

• Install-Package ConsoleTables -Version 2.4.2
• Install-Package Microsoft.Diagnostics.Tracing.TraceEvent -Version 2.0.64
• Install-Package System.Runtime.InteropServices.RuntimeInformation -Version 4.3.0

BeaconHunter の実行

• PowerShell または CMD を管理者として開く
• .\BeaconHunter.exe

モニター

ネットワークビーコンスコア

• スコアは、ビーコンコールバック間の時間差（デルタ）を計算し、次にデルタの一次微分を計算し、その結果を逆関数 100/x（xはデルタの一次微分）に入力することで決定されます。（注：おそらくもっと良い方法がありますが、これで機能します）

IP およびポート統計

DNSクエリ

• DNSビーコンの検出に役立ちます。

ディレクトリ変更

新しくアップロードされたファイル

シェルコマンド

• PPIDスプーフィングを検出します

アクション

スレッドIDの一時停止 - 手動

スレッドIDの一時停止 - 自動

• スコアのしきい値を設定します。ネットワークビーコンスコアがしきい値を超えると、BeaconHunterが自動的にスレッドを一時停止します。

参考文献

• ETWプロバイダー: https://gist.github.com/guitarrapc/35a94b908bad677a7310#file-providerlist-md
• ETWイベント: https://github.com/jdu2600/Windows10EtwEvents
• TraceEventライブラリガイド: https://github.com/microsoft/perfview/blob/main/documentation/TraceEvent/TraceEventProgrammersGuide.md