flangvik/azurec2relayAzure Functionは、Malleable C2プロファイルを使用してCobalt Strikeビーコン通信を検証および中継し、無効なリクエストをデコイサイトにリダイレクトし、検証済みトラフィックをSSH経由でチームサーバーに転送します。
AzureC2Relayは、Cobalt StrikeマルチブルC2プロファイルに基づいて受信リクエストを検証し、Cobalt Strikeビーコントラフィックを中継するAzure Functionです。プロファイルのユーザーエージェント、URIパス、ヘッダー、クエリパラメータを共有しない受信リクエストは、設定可能なデコイWebサイトにリダイレクトされます。検証されたC2トラフィックは、同一仮想ネットワーク内のチームサーバーに中継され、さらにネットワークセキュリティグループによって制限されます。これにより、VMはSSHのみを公開するようになります。
AzureC2Relayは、terraform azureモジュールおよびいくつかのローカルaz cliコマンドを介してデプロイされます。
terraform、az cli、およびdotnet core 3.1ランタイムがインストールされていることを確認してください。
Windows (Powershell)
&([scriptblock]::Create((Invoke-WebRequest -UseBasicParsing 'https://dot.net/v1/dotnet-install.ps1'))) -runtime dotnet -version 3.1.0
Invoke-WebRequest 'https://releases.hashicorp.com/terraform/0.14.6/terraform_0.14.6_windows_amd64.zip' -OutFile 'terraform.zip'
Expand-Archive -Path terraform.zip -DestinationPath "$([Environment]::GetFolderPath('ApplicationData'))\TerraForm\"
setx PATH "%PATH%;$([Environment]::GetFolderPath('ApplicationData'))\TerraForm\"
Invoke-WebRequest -Uri https://aka.ms/installazurecliwindows -OutFile .\AzureCLI.msi; Start-Process msiexec.exe -Wait -ArgumentList '/I AzureCLI.msi /quiet'; rm .\AzureCLI.msi
Mac
curl -L https://dot.net/v1/dotnet-install.sh | bash -s -- --runtime dotnet --version 3.1.0
brew update
brew tap hashicorp/tap
brew install hashicorp/tap/terraform
brew install azure-cli
Ubuntu , Debian
curl -L https://dot.net/v1/dotnet-install.sh | bash -s -- --runtime dotnet --version 3.1.0
wget https://releases.hashicorp.com/terraform/0.14.5/terraform_0.14.5_linux_amd64.zip
unzip terraform_0.14.5_linux_amd64.zip
sudo cp terraform /usr/local/bin/terraform
curl -sL https://aka.ms/InstallAzureCLIDeb | sudo bash
Kali
curl -L https://dot.net/v1/dotnet-install.sh | bash -s -- --runtime dotnet --version 3.1.0
wget https://releases.hashicorp.com/terraform/0.14.5/terraform_0.14.5_linux_amd64.zip
unzip terraform_0.14.5_linux_amd64.zip
sudo cp terraform /usr/local/bin/terraform
echo "deb [arch=amd64] https://packages.microsoft.com/repos/azure-cli/ stretch main" | sudo tee /etc/apt/sources.list.d/azure-cli.list
curl -L https://packages.microsoft.com/keys/microsoft.asc | sudo apt-key add -
sudo apt-get update && sudo apt-get install apt-transport-https azure-cli
config.tfで定義された最初の変数をニーズに合わせて変更します。az loginterraform initを実行します。terraform apply -auto-approveを実行してインフラをデプロイします。terraformが完了すると、必要なsshコマンドが提供されます。CobaltStrike teamserverは、デプロイされたVM上のtmuxセッション内で実行されます。
インフラの使用が終わったら、terraform destroy -auto-approveで削除できます。