octoberfest7/cohab_processes호스트 머신에서 외부 프로세스를 식별하는 데 도움을 주는 작은 Aggressor 스크립트
이 Aggressor 스크립트는 내부 Red Team이 환경에서 의심스럽거나 외부 프로세스("공존 프로세스")를 식별하는 데 도움을 주기 위해 설계되었습니다.
Red Team은 "알려진" 프로세스 목록(독립적으로 또는 Blue Force와 협력하여)을 작성하여 Aggressor 스크립트에 제공할 수 있습니다. 이 프로세스 목록에는 "네트워크에서 적어도 x번 관찰된" 프로세스들이 포함되어 기준선을 설정할 수 있습니다. 스크립트가 CobaltStrike에 로드되면 다음 명령에 대한 Beacon 출력이 변경/색상 코드로 표시됩니다:
위 명령들의 출력에서 "알려진" 프로세스 목록에 없는 모든 프로세스는 추가 조사/검토를 위해 빨간색으로 강조 표시됩니다.
shell tasklist:
ps:
TrustedSec tasklist BOF:
알려진 프로세스 목록은 한 줄에 하나의 프로세스씩 텍스트 파일에 있어야 합니다.
Cohab_Processes.cna 파일의 3번째 줄을 편집하여 "알려진" 프로세스 목록을 지정하세요.
.cna 스크립트를 CobaltStrike에 로드하고 사용하시면 됩니다.
저는 예시로 'knownprocesses.txt'를 포함시켜 사용자들이 환경의 "알려진" 프로세스 목록을 작성하는 수고를 하기 전에 이 스크립트의 동작을 관찰할 수 있도록 했습니다.
이 스크립트와 호환되도록 하려면 TrustedSec의 tasklist BOF에 약간의 수정이 필요합니다. BOF가 출력을 완료했음을 Aggressor 스크립트가 인식하고 더 이상 읽기/색상 코딩을 시도하지 않도록 하기 위해 효과적으로 "BOF 종료" 태그를 출력에 추가해야 했습니다.
해당 저장소에서 전체 패키지를 가져온 다음 tasklist BOF(CS-Situational-Awareness-BOF/src/SA/tasklist/entry.c)를 여기에 포함된 파일과 일치하도록 수정하는 것을 권장합니다. 이는 전체 저장소에 entry.c를 다시 컴파일하는 데 필요한 일부 헬퍼/헤더 파일이 포함되어 있기 때문에 필요합니다.
잠재적인 공존 프로세스를 식별하기 위한 이 방법론은 심각하게 제한적입니다. 예를 들어 다음과 같은 상황은 식별하거나 포착하지 못합니다:
이 스크립트는 "쉽게 잡히는 것들"을 포착하는 데 도움을 주는 역할을 합니다.
TrustedSec의 훌륭한 BOF 저장소에 감사드립니다.
harleyQuinn의 ProcessColor.cna에서 영감과 일부 코드 조각을 가져왔습니다.
