ScreenshotBOF

Cobalt Strike向けの代替スクリーンショット機能で、WinAPIを使用し、fork & runを実行しません。スクリーンショットはメモリ上でダウンロードされます。

機能

• JPEG圧縮
• メモリ上でのスクリーンショットまたはファイルとしてのダウンロード
• 最小化されたウィンドウのキャプチャをサポート
• グレースケール、JPEG品質、ダウンスケーリングによるファイルサイズ削減

自己コンパイル

1. リポジトリをgit cloneする
2. makeを実行する

保存方法:

0. ファイルをディスクに保存
1. beacon経由でファイルをダウンロード（Cobalt Strikeのみ）
2. beacon経由でスクリーンショットとしてファイルをダウンロード（Cobalt Strikeのみ）

PID

0: 全画面をキャプチャ（PID = 0） 特定のPID: 特定のPIDをキャプチャ（最小化時でも動作！）

使用方法

1. screenshotBOF.cnaスクリプトをCobalt Strikeにインポートする
2. コマンドscreenshot_bof {ローカルファイル名} {保存方法 0/1/2} {pid/0} {グレースケール 0/1} {品質 0-100} {スケール 0-100}を使用する
   • 引数なしでscreenshot_bofを実行すると、GUIダイアログが表示されます

beacon> screenshot_bof file.jpg 2 21964 0 90 100
[*] Running screenshot BOF by (@codex_tf2)
[+] host called home, sent: 12421 bytes
[+] received output:
Downloading JPEG over beacon as a screenshot with filename file.jpg
[*] received screenshot of Screenshot from Admin (26kb)
[+] received output:
Screenshot saved/downloaded successfully

注意事項

• 回避処理は行われていませんが、使用しているWinAPIは悪意がないため問題ありません

なぜこれを作ったのか？

Cobalt Strikeは、スクリーンショットコマンドを含む多くのポストエクスプロイト機能で、fork & runと呼ばれる手法を使用しています。この動作は安定性を提供しますが、現在ではよく知られ、厳重に監視されています。このBOFは、よりOPSEC安全なバージョンのスクリーンショット機能を提供することを目的としています。

クレジット

• BMPをファイルに保存: https://stackoverflow.com/a/60667564
• メモリ内ダウンロード: https://github.com/anthemtotheego/CredBandit
• @BinaryFaultline: aggressorscriptにおける（非推奨の）BMPレンダリングとスクリーンショットコールバック関数
• bitmapからjpegへの変換: https://github.com/WKL-Sec/HiddenDesktop

免責事項

通常の免責事項: この質の低いコードを使用して引き起こされる人道に対する罪や核戦争について、私は一切の責任を負いません。