BlueSAM BOF

Cobalt StrikeのBeacon Object FileとしてBlueHammerを移植したもので、Windows Defenderのアップデート/VSS動作を介してSAMデータベースのコピーを取得し、Beaconからオフラインのレジストリデータを処理しようとします。

元のPoCはNightmare-Eclipse氏のBlueHammer（https://github.com/Nightmare-Eclipse/BlueHammer）に感謝します。

始め方

1. リポジトリをクローンする
2. make を実行する

使用方法

1. bluesam.cnaスクリプトをCobalt Strikeにインポートする
2. bluesam コマンドを使用する

bluesam
Command         Description
(none)          Runs the BlueSAM BOF with the default target behavior.
any argument    Shows this help menu.

実行例

クレジット:

• https://github.com/Nightmare-Eclipse/BlueHammer
• https://github.com/MEhrn00/boflink
• https://github.com/trustedsec/CS-Situational-Awareness-BOF/tree/master/src/base_template
• https://github.com/CodeXTF2/bof_template