PyBeacon

PyBeaconは、Cobalt Strikeの暗号化トラフィックを扱うためのスクリプト集です。

ビーコンメタデータの暗号化/復号化、および対称暗号化されたタスクの解析が可能です。

含まれるスクリプト

暗号化/復号化メソッドを含む小さなライブラリがありますが、いくつかのサンプルスクリプトも含まれています。

stager-decode.py - このツールは、ステージャーURLからビーコンDLLを単純にデコードします（公開鍵の抽出に使用できます）。
register.py - このツールはRSA暗号化されたメタデータを扱い、対象のTeamserverに新しい（偽の）ビーコンを登録できます。
tasktool.py - このツールは、Teamserverとの間のAES暗号化タスクを扱います。Teamserverにコールバックを送信したり、Teamserverからビーコンへのタスクをデコードするために使用します。
cs-3-5-rce.py - これは、CS < 3.5-hf1を悪用するために使用されたエクスプロイトの実装であり、実際の攻撃でCobalt Strikeサーバーをハッキングするために使用されました。IPアドレスフィールドにディレクトリトラバーサルを含むビーコンを登録することで機能します。その後、ダウンロードコールバックを登録し、その"ダウンロード"がターゲットファイルシステム上の任意の場所にアップロードされるようにします。実際の攻撃では、RCEを達成するためにcronジョブが使用されました。