unhook-bof

これは、DLLをリフレッシュしてフックを除去するためのBeacon Object Fileです。コードはCylanceのUniversal Unhooking研究に基づいています:

https://blogs.blackberry.com/en/2017/02/universal-unhooking-blinding-security-software

使用方法:

Cobalt Strike -> Script Manager から unhook.cna を Cobalt Strike に読み込みます

Beacon から 'unhook' を実行します

ビルド方法:

x86: Visual Studio x86 Native Tools Command Prompt を開いて 'make' と入力します x64: Visual Studio x64 Croos Tools Command Prompt を開いて 'make' と入力します

このプロジェクトは以下から派生しています:

Reflective DLL Injection BSD 3-Clause License Copyright (c) 2011, Stephen Fewer of Harmony Security (www.harmonysecurity.com) https://github.com/stephenfewer/ReflectiveDLLInjection

ReflectiveDLLRefresher BSD 3-Clause License Copyright (c) 2017, Cylance Inc. https://github.com/CylanceVulnResearch/ReflectiveDLLRefresher

Unhook Meterpreter Extension BSD-3-Clause License 2006-2018, Rapid7, Inc. https://github.com/rapid7/metasploit-payloads/commits/master/c/meterpreter/source/extensions/unhook