GeolocationBOF

Cobalt Strike BOFであり、fork & runを使用せずにWindowsの地理位置情報座標を取得しようとします。最初にWinRT Geolocator APIを使用し、次にレガシーILocation APIにフォールバックします。

実装

WinRTの地理位置情報をレガシーILocationフォールバックと共に使用するシンプルなBOFです。以下のレジストリキーを変更します。

• HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location
  • Value = Allow
• HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location\NonPackaged\<encoded process path>
  • Value = Allow
• 管理者のみ: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location
  • Value = Allow
• 管理者のみ: HKLM\SOFTWARE\Policies\Microsoft\Windows\LocationAndSensors
  • DisableLocation = 0
  • DisableWindowsLocationProvider = 0
• 管理者のみ: HKLM\SOFTWARE\Policies\Microsoft\Windows\AppPrivacy
  • LetAppsAccessLocation = 1
• 管理者のみ: HKLM\SYSTEM\CurrentControlSet\Services\lfsvc\Service\Configuration
  • Status = 1

管理者実行時は、lfsvcサービスの開始種類を一時的に「要求時開始」に変更し、サービスの開始を試みます。

すべての変更は実行後に元に戻されます。

自己コンパイル

1. リポジトリをgit cloneする
2. makeを実行する

使用方法

1. GeoLocationBOF.cnaスクリプトをCobalt Strikeにインポートする
2. コマンドgeolocation_bofを使用する

beacon> geolocation_bof
[*] Running geolocation_bof by (@codex_tf2)
[+] host called home, sent: 30095 bytes
[+] received output:
latitude=12.34567890
longitude=-12.34567890
accuracy_radius_meters=25.00

注意事項

• ターゲットでWindowsロケーションサービスが利用可能である必要があります。
• 位置情報のプライバシー設定、ポリシー、センサー、プロバイダーの可用性によって結果が得られない場合があります。
• 位置情報の許可がまだ付与されていない場合、それを有効にするには管理者コンテキストが必要です。
• 位置情報の許可を付与するために一時的なレジストリ変更が行われ、BOFの終了前に元に戻されます。
• 回避策は行われていません。ご自身のOPSECを適用してください。

なぜこれを作ったのか？

このBOFは、Windowsの地理位置情報データを直接インプロセスで要求する手段を提供することを目的としています。

クレジット

• https://github.com/MEhrn00/boflink

免責事項

いつもの免責事項です。この出来の悪いコードを使用して引き起こされる可能性のある人道に対する罪や核戦争について、私は一切の責任を負いません。