BeaconHunter

ETW 추적을 활용하는 C#으로 빌드된 동작 기반 모니터링 및 헌팅 도구입니다. 블루 팀은 이 도구를 사용하여 잠재적인 Cobalt Strike 비콘을 탐지하고 대응할 수 있습니다. 레드 팀은 이 도구를 사용하여 ETW 우회를 연구하고 비콘처럼 행동하는 새로운 프로세스를 발견할 수 있습니다.

저자: Andrew Oliveau (@AndrewOliveau)

요약

정상 프로세스에 주입된 비콘 임플란트는 Wait:DelayExecution 상태의 스레드에 존재합니다 (아마도 Cobalt Strike의 sleep과 관련됨). Wait:DelayExecution 상태의 스레드를 포함하는 모든 프로세스를 찾습니다. 그런 다음 ETW 추적을 활용하여 의심스러운 스레드 활동을 구체적으로 모니터링합니다:

• HTTP/HTTPS 콜백
• DNS 쿼리
• 파일 시스템 (cd,ls,upload,rm)
• 프로세스 종료 (kill)
• 셸 명령 (run,execute)

의심스러운 행동에 점수를 매깁니다. 로그를 기록하고, 표시하며, 이에 대해 조치를 취합니다.

빌드 / 설치

사전 컴파일

Release

또는 git clone을 실행하고 Release 폴더로 이동합니다.

.NET Framework 버전

4.5

Nuggets:

Tools -> NuGet Package Manager -> Package Manager Console

• Install-Package ConsoleTables -Version 2.4.2
• Install-Package Microsoft.Diagnostics.Tracing.TraceEvent -Version 2.0.64
• Install-Package System.Runtime.InteropServices.RuntimeInformation -Version 4.3.0

BeaconHunter 실행

• 관리자 권한으로 PowerShell 또는 CMD를 엽니다.
• .\BeaconHunter.exe

모니터

네트워크 비콘 점수

• 점수는 비콘 콜백 간 시간 차이(delta)를 계산하고, delta의 1차 도함수를 계산한 다음, 답을 역함수 100/x에 대입하여 결정됩니다 (여기서 x는 delta의 1차 도함수입니다). (참고: 더 나은 방법이 있을 수 있지만 작동합니다.)

IP 및 포트 통계

DNS 쿼리

• DNS 비콘 탐지에 유용합니다.

디렉터리 변경

새로 업로드된 파일

셸 명령

• PPID 스푸핑을 탐지합니다

조치

스레드 ID 일시 중단 - 수동

스레드 ID 일시 중단 - 자동

• 점수 임계값을 설정합니다. 네트워크 비콘 점수가 임계값을 초과하면 BeaconHunter가 자동으로 스레드를 일시 중단합니다.

참고 자료

• ETW 제공자: https://gist.github.com/guitarrapc/35a94b908bad677a7310#file-providerlist-md
• ETW 이벤트: https://github.com/jdu2600/Windows10EtwEvents
• TraceEvent 라이브러리 가이드: https://github.com/microsoft/perfview/blob/main/documentation/TraceEvent/TraceEventProgrammersGuide.md