trustedsec/cs-remote-ops-bofBeacon Object Filesを使用して実装されたリモート操作コマンド
このリポジトリは、以前に公開した SA リポジトリの追加分として機能します。当初の方針では、他システムを改変するツールは公開せず、情報収集ツールのみをすぐに使える形式で提供するつもりでした。
時が経つにつれ、他の多くの公開セキュリティ企業が攻撃用ツールを公開するのを目にしてきました。そして今、当社の攻撃用ツールの一部を公開することが適切だと感じています。
このリポジトリに特に特別なものはなく、BOF 形式にした基本的な Microsoft Windows 操作です。これらのプリミティブは、多種多様な操作に使用できます。
EDR 検出テストを行う際に使用する injection BOF を含めることにしました。これらの BOF は現状のまま提供され、サポートは行いません (src/Injection および Injection/* 配下のすべて)。
これらを使用していただいて構いませんが、これらに関連して起票された issue はレビューなしでクローズされます。
| command | notes |
|---|---|
| adcs_request | 登録証明書を要求する |
| chromeKey | 提供された base64 エンコード済み Chrome キーを復号する |
| enableuser | 指定したユーザーアカウントを有効化し、ロックを解除する |
| lastpass | lastpass のパスワードとデータを求めて chrome、brave のメモリを検索する |
| office_tokens | 任意の office プロセスから Office JWT トークンを収集する。 |
| procdump | 指定したプロセスを指定した出力ファイルにダンプする |
| ProcessDestroy | プロセス内のハンドルを閉じる |
| ProcessListHandles | 指定したプロセス内のすべての開いているハンドルを一覧表示する |
| reg_delete | レジストリキーを削除する |
| reg_save | レジストリハイブをディスクに保存する |
| reg_set | レジストリキーを設定 / 作成する |
| sc_config | 既存のサービスを構成する |
| sc_create | 新しいサービスを作成する |
| sc_delete | 既存のサービスを削除する |
| sc_description | 既存のサービスの説明を変更する |
| sc_start | 既存のサービスを開始する |
| sc_stop | 既存のサービスを停止する |
| schtaskscreate | 新しいスケジュールタスクを作成する (xml 定義経由) |
| schtasksdelete | 既存のスケジュールタスクを削除する |
| schtasksstop | 実行中のスケジュールタスクを停止する |
| setuserpass | ユーザーのパスワードを設定する |
| shspawnas | 新しく起動したプロセスにコードを注入するという見当違いの試み |
はい、schtasksrun はありません。はい、これは意図的です。ただし、誰かがそれに対する pull を出せば、こちら側で受け入れます。
このリポジトリは、単一タスクの Windows プリミティブを対象としています。つまり、複数回の呼び出しが必要であっても、スケジュールタスクの作成は適切です。
インプラントを事前生成し、リポジトリ内の BOF を使用して自動移動を実行しようとするコマンドは素晴らしいものですが、このリポジトリに直接提出するのは適切ではありません。
あなたのコントリビューションを受け取った後、詳細なコードレビューとテストが行われます。
テストが完了した後、コードに問題がなくなるまで、発見事項に基づいてゼロ回以上の変更要求ラウンドを行います。その時点でリポジトリに受け入れられ、あなたの github ユーザー名がクレジットリストに追加されます (追加されたくない場合、または別のハンドルを使用したい場合は、その旨を私に知らせてください)
