これは、https://codex-7.gitbook.io/codexs-terminal-window/blue-team/detecting-cobalt-strike/sleep-mask-kit-iocs で見つけた sleepmask 検出ルール用の git リポジトリです。
これらのバイトは sleep mask kit 難読化されていない .text セクション 自体の一部であり、スリープ中も難読化されません。組み込みの sleepmasking テクニックでは、ビーコンを復帰させるために実行可能な状態を保つ必要があるため、この領域を暗号化することはできません。Timer や NtContinue APC を使用するような新しいテクニックでは、この問題は発生しません。このシグネチャは、この MDSec ブログ記事によると、"userwx" 設定を無効にした場合にのみ機能しました: https://www.mdsec.co.uk/2022/07/part-2-how-i-met-your-beacon-cobalt-strike/
CobaltStrike 4.6.1 で開発およびテスト済み。
