kuwaitist/astral_projectionCobalt Strike UDRL로, VEH를 사용하여 호출을 가로채고, 슬립 중에 모듈을 언맵하며, 새로운 모듈을 다시 맵핑하여 IOC를 회피하는 고급 모듈 스톰핑을 수행합니다.
Astral Projection은 고급 모듈 스톰핑(module stomping)을 수행하는 Cobalt Strike UDRL(User-Defined Reflective Loader)입니다.
이 UDRL은 LoadLibraryExW를 사용하여 모듈을 로드한 후, VEH를 설정하여 전략적인 호출을 가로챕니다. 이를 통해 희생 DLL의 섹션 핸들을 탈취하고 접근 권한을 상향 조정하여 나중에 슬립 마스크에서 사용할 수 있도록 합니다. 슬립 중에는 PEB 항목을 유지한 상태로 모듈을 언맵(unmap)한 후, 새로운 모듈을 다시 맵(map)하여 슬립 중 IOC를 방지합니다.
이 프로젝트는 Crystal Palace를 기반으로 구축되었습니다. 일부 코드는 Crystal-Kit 프로젝트에서 차용되었습니다.
사용된 기술에 대한 상세한 기술 블로그 게시물은 여기에서 확인할 수 있습니다.
stage {
set sleep_mask "false";
set cleanup "true";
transform-obfuscate { }
}
post-ex {
set cleanup "true";
set smartinject "true";
}
crystalpalace.jar를 Cobalt Strike 클라이언트 디렉토리에 복사합니다.Astral_Projection.cna를 로드합니다.