CSSG

Cobalt Strike 셸코드 생성기

Ryan Stephenson (RCStep)

Cobalt Strike 상단 메뉴바에 셸코드 생성기(Shellcode Generator) 추가

CSSG는 비콘 셸코드를 보다 쉽게 생성하고 포맷팅하기 위한 aggressor, .NET 및 파이썬 스크립트입니다.

종료 방식이 노출된 stageless 비콘 셸코드를 생성하며 추가적인 포맷팅, 암호화, 인코딩, 압축, 다중 행 출력 등을 제공합니다.

셸코드 변환은 메뉴에 나열된 내림차순으로 적용됩니다

요구사항:
RC4/AES 암호화 옵션은 /assets 폴더에 있는 파이썬 스크립트 또는 .NET 어셈블리를 사용합니다.
파이썬 기반 암호화는 RC4/AES 암호화를 수행하기 위해 pycryptodome 패키지가 설치되어 있어야 합니다.

pycryptodome 설치는 pip를 사용하여 파이썬 환경에 맞게 실행합니다:

python -m pip install pycryptodome
python3 -m pip install pycryptodome
py -3 -m pip install pycryptodome
py -2 -m pip install pycryptodome

pip 설치 후 pycryptodome이 있는지 확인하려면 다음과 같은 명령어를 사용할 수 있습니다:

python -m pip list | grep crypto

생성기는 클라이언트 호스트의 기본 "python" 명령어를 사용하여 RC4/AES 암호화 스크립트를 실행합니다.

RC4/AES .exe 백엔드 옵션을 사용하려면 클라이언트 호스트에서 네이티브 .NET 프레임워크 어셈블리를 실행할 수 있어야 합니다.

셸코드 생성기 옵션:

리스너:
"..." 버튼으로 유효한 리스너를 선택합니다. 선택한 리스너를 기반으로 셸코드가 생성됩니다.

전송 방식:
Stageless (Staged는 셸코드 생성기에서 지원되지 않음)

종료 방식:
process - 비콘이 종료될 때 비콘이 존재하는 전체 프로세스를 종료합니다.
thread - 비콘이 종료될 때 비콘이 실행 중인 스레드만 종료합니다.

비콘 시스템 콜 방식:
none
direct
indirect

비콘 HTTP 라이브러리:
wininet
winhttp

로컬 포인터 체크박스:
기존 비콘에서 셸코드를 실행할 경우 사용할 수 있습니다.
동일 아키텍처의 부모 비콘에서 주요 함수 포인터를 상속하는 비콘 셸코드 페이로드를 생성합니다.

기존 세션:
셸코드가 세션 메타데이터를 가져올 부모 비콘 세션입니다.
셸코드는 이 비콘 세션 내에서 실행되어야 합니다.

x86 체크박스:
체크하면 x86 셸코드를 생성합니다. 기본값은 x64입니다.

또는 셸코드 파일 사용:
비콘 셸코드 대신 외부에서 생성된 raw 셸코드 파일을 사용합니다.
이를 통해 다른 내보내기된 비콘 파일이나 다른 도구(Donut, msfvenom 등)의 출력을 사용할 수 있습니다.

포맷팅:
raw - raw 바이너리 셸코드 출력, 포맷팅 없음
hex - 16진수 포맷 셸코드 출력
0x90,0x90,0x90 - C# 스타일 바이트 배열로 포맷된 셸코드
0x90uy;0x90uy;0x90uy - F# 스타일 바이트 배열로 포맷된 셸코드
\x90\x90\x90 - C/C++ 스타일 바이트 배열로 포맷된 셸코드
UUID - 파이썬 스크립트를 사용하여 UUID 문자열로 변환된 셸코드 (16바이트 청크로 \x90 패딩됨)
b64 - 생성 과정 초기에 셸코드를 base64로 인코딩하는 옵션 (암호화 전)

XOR 암호화 셸코드 체크박스:
체크하면 셸코드를 XOR 암호화합니다 (한 번에 하나의 암호화 유형만 선택 가능).

XOR 키:
암호화에 사용할 무작위 생성 및 편집 가능한 XOR 키 문자
여러 문자는 여러 라운드의 XOR 암호화를 초래합니다 (예: ABCDE)

RC4 암호화 셸코드 체크박스:
체크하면 셸코드를 RC4 암호화합니다 (한 번에 하나의 암호화 유형만 선택 가능).
RC4 암호화를 위해 파이썬 스크립트 또는 .NET 프레임워크 어셈블리를 사용합니다.

AES 암호화 셸코드 체크박스:
체크하면 셸코드를 AES 암호화합니다 (한 번에 하나의 암호화 유형만 선택 가능).
AES 블록 암호 AES-CBC 암호화를 위해 파이썬 스크립트 또는 .NET 프레임워크 어셈블리를 사용합니다.
블록 크기 요구 사항을 충족하기 위해 셸코드에 \0 값이 패딩됩니다.
암호화된 셸코드 데이터 앞에 무작위로 생성된 IV가 추가됩니다.

RC4/AES 백엔드 체크박스:
체크하면 셸코드 파일을 암호화하기 위해 .NET exe 어셈블리를 사용합니다.
체크 해제하면 파이썬 스크립트를 사용하여 셸코드 파일을 암호화합니다.
AES에 허용되는 암호화 키 바이트 길이는 16, 24, 32입니다.
RC4의 경우 .NET에서는 모든 길이가 가능하며, 파이썬에서는 최소 5바이트입니다.

RC4/AES 백엔드 도구:
파이썬 스크립트와 컴파일된 .NET 어셈블리가 assets 디렉터리에 있습니다.
신뢰하지 않는다면 직접 컴파일할 수 있도록 Encryptor 어셈블리의 소스 폴더도 함께 제공됩니다 (저라면 안 믿을 겁니다).
두 도구 모두 RC4/AES 셸코드/파일의 암호화 및 복호화를 수행할 수 있습니다.

encrypt_file.py 사용법:

encrypt_file.py [aes/rc4] [encrypt/decrypt] [key] [input file] [output file]

Encryptor.exe 사용법:

Encryptor.exe [aes/rc4] [encrypt/decrypt] [key] [input file] [output file]

RC4 또는 AES 키
암호화에 사용할 무작위 생성 및 편집 가능한 RC4/AES 키
256비트 AES 암호화 강도를 위해 32바이트 AES 키가 생성되며 권장됩니다.
AES 암호화 키 허용 바이트 길이는 16, 24, 32입니다.
RC4 키 길이는 .NET 사용 시 최소 1바이트, 파이썬 사용 시 최소 5바이트입니다.

인코딩/압축:
none - 셸코드에 추가 인코딩 또는 압축 없음
b64 - 셸코드를 base64 인코딩
gzip then b64 - gzip 압축 후 base64 인코딩
gzip - 셸코드를 gzip 압축
b64 then gzip - base64 인코딩 후 gzip 압축
b64 then 7xgzip - base64 인코딩 후 7회 gzip 압축

다중 행 출력:
raw/바이너리 출력 형식이 아닌 경우 사용 가능합니다.
none - 다중 행 포맷 없음, 셸코드는 하나의 긴 문자열
quoted - 셸코드가 따옴표로 감싸진 여러 줄로 나뉩니다.
chunks.push_back - 셸코드가 chunks.push_back(" 및 ");로 감싸진 여러 줄로 나뉩니다.

다중 행 길이:
다중 행 출력 옵션을 선택한 경우 각 줄의 셸코드 문자 수입니다.

생성 버튼:
셸코드 출력 디렉터리 선택
기본 파일 이름은 beacon이지만 변경 가능합니다.
사용된 암호화 키는 팝업으로 표시되고 Cobalt Strike 스크립트 콘솔에도 기록됩니다.
raw 비콘 셸코드와 최종 포맷된 비콘 셸코드의 바이트 크기가 팝업으로 표시되고 스크립트 콘솔에도 기록됩니다.
셸코드 생성/빌드에 사용된 파일들의 위치는 scripts/shellcode_generator.cna 파일에 모두 설정되어 있습니다.

수많은 정보보안 기여자들의 작업에서 영감을 받았습니다.