sentinel-one/cobaltstrikeparser휴리스틱 XOR 복호화 및 구조화된 구성 파싱을 통해 PE 파일, 메모리 덤프 및 C2 URL에서 CobaltStrike Beacon 구성을 추출하는 Python 파서.
CobaltStrike Beacon 설정을 파싱하는 Python 파서
parse_beacon_config.py를 스테이지리스 비콘, 메모리 덤프 또는 metasploit 호환 모드(기본값 true)가 있는 C2 URL에 사용합니다.
많은 스테이지리스 비콘은 PE이며, 비콘 코드 자체가 .data 섹션에 저장되고 4바이트 키로 XOR 처리됩니다.
스크립트는 휴리스틱하게 XOR 키와 데이터를 찾아내고, 데이터를 복호화한 후 설정을 파싱합니다.
이 스크립트는 라이브러리로도 사용할 수 있도록 설계되었습니다.
이제 저장소에는 C2 서버와 비콘처럼 통신하는 데 도움이 되는 작은 통신 모듈(comm.py)도 포함되어 있습니다.
usage: parse_beacon_config.py [-h] [--json] [--quiet] [--version VERSION] beacon
Parses CobaltStrike Beacon's configuration from PE, memory dump or URL.
positional arguments:
beacon This can be a file path or a url (if started with http/s)
optional arguments:
-h, --help show this help message and exit
--json Print as json
--quiet Do not print missing or empty settings
--version VERSION Try as specific cobalt version (3 or 4). If not specified, tries both.
통신 PoC를 사용하려면 메인 폴더로 복사한 후 그곳에서 실행하세요.
Windows에서 PoC에 필요한 M2Crypto 라이브러리를 설치하려면 pip를 사용하는 것보다 온라인에서 제공되는 설치 프로그램을 사용하는 것이 가장 쉽습니다.