WindowSpy 👀

WindowSpy는 특정 사용자에 대한 감시를 목적으로 하는 Cobalt Strike Beacon Object File입니다. 이 프로젝트의 목표는 브라우저 로그인 페이지, 기밀 문서, VPN 로그인 등과 같은 특정 대상에서만 감시 기능을 트리거하는 것이었습니다. 목적은 스크린샷과 같은 감시 기능의 반복적인 사용이 탐지되는 것을 방지하여 사용자 감시 중 은밀성을 높이는 것입니다. 또한 키로깅/스크린워치가 항상 실행 중이었다면 생성되었을 많은 사용자 감시 데이터 페이지를 분석하는 데 드는 레드팀의 시간을 절약해 줍니다.

작동 방식

비콘이 체크인할 때마다 BOF가 대상에서 실행됩니다. BOF에는 유용한 창 제목에서 흔히 볼 수 있는 문자열(예: login, administrator, control panel, vpn 등)의 하드코딩된 목록이 함께 제공됩니다. 이 목록을 사용자 정의하고 직접 다시 컴파일할 수 있습니다. 보이는 창을 열거하고 제목을 문자열 목록과 비교하여 일치하는 항목이 감지되면 WindowSpy.cna에 정의된 spy()라는 로컬 aggressorscript 함수를 트리거합니다. 기본적으로 스크린샷을 촬영합니다. 이 함수는 키로깅, WireTap, 웹캠 등 원하는 대로 사용자 정의할 수 있습니다.

spy() 함수는 하나의 인수($1)를 가지며, 이는 트리거한 비콘의 비콘 ID입니다.

설치

1. WindowSpy.cna 스크립트를 Cobalt Strike에 로드합니다.
2. 키워드를 업데이트합니다(예: windowspy_update confidential,secret,password).

소스에서 빌드

1. Visual Studio에서 WindowSpy.sln 솔루션 파일을 엽니다.
2. 대상 BOF(x64/x86)용으로 빌드합니다.

사용법

1. 실행 상태로 둡니다. 각 비콘 체크인 시 자동으로 실행되고 그에 따라 트리거됩니다.

지루해서 이걸 만들었고, 사용자 감시를 가지고 놀고 있었습니다. 버그가 있으면 이슈를 열어주세요. 디자인에 문제가 있으면 이슈를 열어주셔도 됩니다.

면책 조항

여기 일반적인 면책 조항이 있습니다: 저는 이 형편없는 코드를 사용하여 저지를 수 있는 인도에 반하는 범죄나 일으킬 수 있는 핵전쟁에 대해 책임을 지지 않습니다.