BeaconEye

소개

BeaconEye는 실행 중인 프로세스에서 활성화된 CobaltStrike 비콘을 스캔합니다. 프로세스가 비콘을 실행 중인 것으로 확인되면 BeaconEye는 각 프로세스의 C2 활동을 모니터링합니다.

작동 방식

BeaconEye는 라이브 프로세스 또는 MiniDump 파일에서 의심되는 CobaltStrike 비콘을 스캔합니다. 라이브 프로세스 모드에서는 선택적으로 디버거로 연결되어 C2 트래픽(현재 HTTP/HTTPS 비콘 지원)에 대한 비콘 활동 모니터링을 시작합니다.

C2 데이터 및 malleable 프로파일 암호화에 사용되는 AES 키가 실시간으로 디코딩되어, 운영자가 명령을 보낼 때 BeaconEye가 비콘의 출력을 추출하고 복호화할 수 있습니다.

활동 로그 폴더는 프로세스별로 BeaconEye가 실행된 현재 디렉터리 기준으로 생성됩니다.

사용법

BeconEye by @_EthicalChaos_
  CobaltStrike beacon hunter and command monitoring tool x86_64

  -v, --verbose              Display more verbose output instead of just
                               information on beacons found
  -m, --monitor              Attach to and monitor beacons found when scanning
                               live processes
  -f, --filter=VALUE         Filter process list with names starting with x (
                               live mode only)
  -d, --dump=VALUE           A folder to use for MiniDump mode to scan for
                               beacons (files with *.dmp or *.mdmp)
  -h, --help                 Display this help

기능

• 프로세스별 로그 폴더
• 비콘 설정 덤프
• 대부분의 비콘 명령 출력 표시
• 스크린샷 저장
• 독립형 및 인젝션된 비콘 탐지
• 내장 sleep_mask로 마스킹된 비콘 탐지
• 실행 중인 프로세스 또는 Minidump 오프라인 스캔

주의사항

BeaconEye는 모든 비콘 유형을 탐지할 수 있지만 HTTP/HTTPS 비콘만 모니터링할 수 있습니다. 현재는 명령 요청이 아닌 명령 출력만 디코딩됩니다. 전체 기능 목록은 아래 TODO 목록을 참조하세요.

BeaconEye는 알파 단계로 간주됩니다. 4.x 비콘 중 탐지되지 않거나, malleable C2 프로파일이 올바르게 파싱되지 않아 출력이 잘못 디코딩되는 경우 피드백을 기다립니다.

할 일

• 32비트 비콘 모니터링 구현
• named pipe 비콘 모니터링 지원 추가
• TCP 비콘 모니터링 지원 추가
• CobaltStrike 3.x 지원 추가
• 특정 프로세스를 대상으로 하는 명령줄 인자 추가
• 출력 로깅 위치를 지정하는 명령줄 인자 추가
• 운영자 명령 추출 지원 추가
• MiniDump 파일 스캔 지원

참고 및 감사

• BeaconEye의 초기 비콘 프로세스 탐지는 @Apr4h의 CobaltStrikeScan을 기반으로 합니다.
• James Forshaw의 NtApiDotNet 라이브러리는 C#에서 프로세스 디버깅 및 상호작용을 쉽게 만듭니다.
• @cube0x0의 순수 관리형 C# MiniDump 리더 포트를 참고로 사용했습니다.