LSTAR - Aggressor

1つのプラグインでセッション確立からドメインコントローラ掌握までを実現し、内部ネットワークを自由に移動できます

CS の右クリックメニューを簡素化し、自身での統合を容易にすることを目的に、多数のポストエクスプロイテーションプラグインを参考にしました

ホスト関連の資格情報取得、多段階の内部ネットワークトンネリング、隠蔽スケジュールタスク、AV回避の Mimikatz、ユーザーのクローン作成・追加などの機能を再構築し、拡充しました

機能特性：

• CobaltStrike の TCP、SMB、Proxy など、インターネットに出られないホストへのセッション確立方式と組み合わせて、複雑なネットワーク環境を透過します
• RDP 関連、AddUser、LsassDump などの機能に対して複数のAV回避実行方式を提供し、ニッチな環境にも対応します
• WinAPI または Assembly メモリロード方式で実行されるシャドウユーザー、隠蔽スケジュールタスクなど、複数のAV回避機能を統合

主に以下の機能モジュールを含みます：

各モジュールは実行前に緑色の区切り線を追加し、実行結果（回显）を確認しやすくして、協業効率を向上させます

CobaltStrike ホストのオンライン（セッション確立）を WeChat で通知するプラグイン：

• 無料で WeChat テンプレートメッセージプッシュに対応した方法を利用したい場合はこちら：https://github.com/lintstar/CS-PushPlus
• ServerChan を利用した企業微信（WeCom）プッシュチャンネルをお持ちの場合はこちら：https://github.com/lintstar/CS-ServerChan

免責事項

本プロジェクトは、セキュリティ研究および合法的な企業セキュリティ構築活動にのみ適用されます。一切の結果および責任はすべて利用者本人が負担するものとします。

2022.1.15 アップデート

• AV回避のユーザークローン作成、ユーザー追加、スケジュールタスク機能を追加
• 最新版の向日葵（Sunlogin）の識別コードと検証コードを取得
• Ladon 9.1.1 のマルチプロトコル生存ホスト検出などの機能を統合
• 機能を分類し、プラグインのセカンドメニューを簡素化

InfoCollect

よく使うコマンドをシナリオ別に分類しました

SharpGetInfo

Ladon が公開している最新の 9.1.1 バージョンを統合

AntiVirusCheck

アンチウイルスソフトの情報を Beacon ステータスバーにローカル表示

実装原理：https://blog.csdn.net/weixin_42282189/article/details/121090055

IntrScan

Ladon のマルチプロトコル生存ホスト検出（SMB、WMI、SNMP、HTTP、DNS、MAC、MSSQL）を追加

ある程度、ファイアウォールの内側にある内部ネットワーク資産を検出できます：MACを利用したファイアウォール迂回による生存ホスト検出

生存 IP 検出

AuthPromote

BadPotato (BeichenDream)

whoami しか実行できないバグを修正し、パラメータ指定で System 権限のセッションを確立できるようになりました

Badpotato (Ladon)

Ladon の Badpotato を追加

SweetPatato (Ladon)

注意：テストの結果、上記2つの権限昇格動作は 360 などのアンチウイルスソフトに検知・ブロックされることが確認されました

AuthMaintain

SharpSchTask

【注意して使用】Windows API を利用して、ツール化された隠しスケジュールタスクを作成します。セキュリティソフトのブロックを迂回し、持続的な制御を実現します。

プロジェクトアドレス：https://github.com/0x727/SchTask_0x727

SharpShadowUser

【注意して使用】Bypass：リモートメモリロードによるクローン作成で、隠蔽されたシャドウユーザーを作成

プロジェクトアドレス：https://github.com/An0nySec/ShadowUser

EasyPersistent

PE ファイルのパス問題を修正し、API 方式で追加したユーザーを正常に削除できるようになりました

PassCapture

機能をシナリオ別に分類

SunFlower

最新版の向日葵（Sunlogin）の識別コードと検証コードを取得

最新版の向日葵では base_encry_pwd パラメータが config.ini からレジストリに変更されました

RemoteLogin

セカンドメニューを簡素化

BypassCXK

SharpAddUser

Bypass AV：DirectoryService 名前空間を利用してユーザーを管理者グループとリモートデスクトップグループに追加

プロジェクトアドレス：https://github.com/An0nySec/UserAdd

CloneX

コマンドラインでユーザー追加・ユーザークローン操作を行うセキュリティ検出ツール

プロジェクトアドレス：https://github.com/0x727/CloneX_0x727

2021.10.18 アップデート

• 機能モジュール全体を再統合し、最適化・改善しました
• ラテラルムーブメントモジュールに ZeroLogon 脆弱性の BOF 実装を追加
• Assembly 方式で実行されるファイルレス（ディスクに書き込まない）機能をいくつか追加

InfoCollect

SharpGetInfo（ワンクリックでホスト情報を収集）

Ladon を使用して、ホストの基本情報、ネットワーク情報、ユーザー情報、プロセス情報、ドメイン参加の有無などをワンクリックで収集します

SharpListRDP（RDP 記録の照会）

RDP の着信接続と発信接続の記録を収集し、運用保守マシンの特定やラテラルムーブメントに役立てます

IntrScan

Cube（モジュール型検出）

旧バージョンのブルートフォースに代わる Cube を追加。内部ネットワークの情報収集と MSSQL コマンド実行に対応。詳細な使い方は実行時の説明を参照してください

Allin（柔軟なスキャン支援）

柔軟なスキャンを支援する Allin を追加。リモートでネットワークカードの IP を取得する例：

SharpOXID-Find (OXID 検出)

EXE をディスクに残したくない場合は、Assembly 方式で OXID の高速検出ができます

IntrAgent

Stowaway （多段階の内部ネットワークを透過）

エージェントをアップロードして実行

admin 側が接続を受信すれば Socks5 トンネルを構築できます

エージェントの削除

PassCapture

LsassDump（WinAPI）

LsassDump の実行方法を変更。LsassDump を削除する際に、ダンプされた C:\Windows\Temp\1.dmp も一緒に削除されます