GeolocationBOF

fork & run 없이 Windows 지리위치 좌표를 검색하는 Cobalt Strike BOF입니다. 먼저 WinRT Geolocator API를 사용하고, 실패 시 레거시 ILocation API로 대체합니다.

구현

WinRT 지리위치를 사용하고 레거시 ILocation으로 대체하는 간단한 BOF입니다. 다음 레지스트리 키를 변경합니다:

• HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location
  • Value = Allow
• HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location\NonPackaged\<encoded process path>
  • Value = Allow
• 관리자 전용: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location
  • Value = Allow
• 관리자 전용: HKLM\SOFTWARE\Policies\Microsoft\Windows\LocationAndSensors
  • DisableLocation = 0
  • DisableWindowsLocationProvider = 0
• 관리자 전용: HKLM\SOFTWARE\Policies\Microsoft\Windows\AppPrivacy
  • LetAppsAccessLocation = 1
• 관리자 전용: HKLM\SYSTEM\CurrentControlSet\Services\lfsvc\Service\Configuration
  • Status = 1

관리자 실행 시 lfsvc 서비스 시작 유형을 수동(demand start)으로 일시 변경하고 서비스를 시작하려고 시도합니다.

모든 변경 사항은 실행 후 원래대로 복원됩니다.

자체 컴파일

1. 저장소를 git clone합니다.
2. make를 실행합니다.

사용법

1. GeoLocationBOF.cna 스크립트를 Cobalt Strike에 가져옵니다.
2. geolocation_bof 명령어를 사용합니다.

beacon> geolocation_bof
[*] Running geolocation_bof by (@codex_tf2)
[+] host called home, sent: 30095 bytes
[+] received output:
latitude=12.34567890
longitude=-12.34567890
accuracy_radius_meters=25.00

참고 사항

• 대상에서 Windows 위치 서비스를 사용할 수 있어야 합니다.
• 위치 개인정보 설정, 정책, 센서 및 공급자 가용성에 따라 결과가 나오지 않을 수 있습니다.
• 위치 권한이 이미 부여되지 않은 경우 활성화하려면 관리자 컨텍스트가 필요합니다.
• 위치 권한을 부여하기 위해 임시 레지스트리 변경이 이루어지며 BOF 종료 전에 복원됩니다.
• 회피(Evasion)는 수행되지 않습니다 - 자체 OPSEC을 적용하세요.

왜 만들었나요?

이 BOF는 Windows 지리위치 데이터를 요청하는 직접적인 프로세스 내 방식을 제공하기 위해 만들어졌습니다.

크레딧

• https://github.com/MEhrn00/boflink

면책 조항

일반적인 면책 조항입니다. 이 형편없는 코드를 사용하여 저지르는 반인도적 범죄나 일으키는 핵전쟁에 대해 저는 책임을 지지 않습니다.