cobaltstrike-sleepmask-yara

https://codex-7.gitbook.io/codexs-terminal-window/blue-team/detecting-cobalt-strike/sleep-mask-kit-iocs에서 찾은 슬립 마스크 탐지 규칙을 위한 git 저장소입니다.

tl;dr

핵심 요약: 이 바이트들은 슬립 마스크 키트 난독화되지 않은 .text 섹션 자체의 일부이며, 슬립 중에는 난독화되지 않습니다. 기본 제공 슬립 마스킹 기법에서는 비콘을 깨우기 위해 이 영역이 실행 가능한 상태로 유지되어야 하므로 이 영역을 암호화할 수 없습니다. Timers 및 NtContinue APC를 사용하는 최신 기법은 이 문제의 영향을 받지 않습니다. 이 시그니처는 MDSec 블로그 게시물(https://www.mdsec.co.uk/2022/07/part-2-how-i-met-your-beacon-cobalt-strike/)에 따르면 "userwx" 설정이 비활성화된 경우에만 작동했습니다.

CobaltStrike 4.6.1에서 개발 및 테스트되었습니다.