비콘 상태 점검 어그레서 스크립트

Joe Vest (트위터: @joevest)

설명

이 어그레서 스크립트는 비콘의 노트 필드를 사용하여 비콘의 상태를 표시합니다. 이는 다음과 같은 방법으로 수행됩니다.

• 각 비콘의 현재 슬립/지터 시간 추적
• '최대 예상 체크인 시간'을 기준으로 상태 계산
• 이벤트 heartbeat_1m을 사용하여 매분마다 적절한 아이콘으로 노트 필드 업데이트
• 새 비콘을 도착 시간과 함께 'NEW'로 레이블 지정
• 초기 비콘 이벤트 로그 메시지에 비콘 ID와 PID 추가

데모

YouTube 데모

상태 점검 및 아이콘

☑ - 활성 및 작동 중인 비콘을 나타내는 심볼

마지막 체크인이 최대 예상 체크인 시간 (슬립 + (슬립 * .01 * 지터))보다 작은 경우로 계산

예: sleep 300 20 설정의 비콘은 최대 예상 체크인 시간이 300 + (300 * .01 * 20)로 계산되어 360이 됩니다.

💀 - 비콘이 죽었음을 나타내는 심볼

마지막 체크인 시간이 최대 예상 체크인 시간 * 2보다 큰 경우로 계산됩니다. 이를 '데드 타임'이라고 합니다.

예: sleep 300 20 설정의 비콘은 데드 타임이 720입니다.

❎ - 운영자가 비콘을 종료했음을 나타내는 심볼

beacon['alive']이 false이면 운영자가 이 비콘을 종료/중단시켰으며 비콘이 종료 명령을 확인한 것입니다.

⚠ - 비콘이 죽어가고 있음을 나타내는 심볼

마지막 체크인이 최대 예상 체크인 시간보다 크고 데드 타임보다 작은 경우로 계산됩니다.

⏸ - 비콘이 일시 중지되었음을 나타내는 심볼

연결이 끊겼지만 여전히 활성 상태로 간주되는 연결된 비콘입니다. 이러한 비콘은 통신을 위해 부모 비콘에 의존합니다. 죽은 것으로 표시하는 대신 일시 중지 상태로 표시됩니다. 연결이 끊긴 비콘의 프로세스를 추적할 좋은 방법이 없습니다.

다음은 Cobalt Strike 클라이언트에서 이 아이콘들이 어떻게 보이는지 보여줍니다.

비콘 ID와 PID가 초기 비콘 이벤트 로그 메시지에 추가되었습니다.

사용법

스크립트 관리자를 통해 beaconhealth.cna 파일을 로드합니다.

스크립트 콘솔에서 get_BeaconHealthCheck_settings 함수를 사용하여 비콘 슬립/지터 추적기를 확인합니다.

스크립트에 대해 알아야 할 사항

• 노트 필드를 사용합니다. 원하는 대로 편집할 수 있습니다. 노트의 첫 번째 문자는 상태 점검 중에 적절한 심볼로 업데이트됩니다.
• 연결된 비콘에는 슬립이 없습니다. 슬립은 연결된 비콘의 부모 비콘에 의해 추적됩니다.
• 슬립 설정은 추적되기 전에 확인되지 않습니다. 죽은 비콘에 슬립을 설정하면 비콘이 실제 슬립을 처리하기 전에 심볼이 변경될 수 있습니다.
• 상태 점검은 장기 실행 비콘을 모니터링하도록 설계되었습니다.
  • 상태는 매분 측정됩니다.
  • 이는 여전히 너무 공격적일 수 있습니다.
  • 점검을 시작하는 하트비트 이벤트를 변경하여 타이밍을 조정할 수 있습니다.
• 추적 데이터베이스는 영구적이지 않습니다. Cobalt Strike 클라이언트를 닫고 다시 연결하면 데이터베이스가 새로고침되고 비콘이 NEW로 표시될 수 있습니다.