trustedsec/cs-remote-ops-bofBeacon Object Files을 사용하여 구현된 원격 작업 명령
이 저장소는 이전에 공개한 SA 저장소의 추가 자료입니다. 원래 우리의 입장은 다른 시스템을 수정하는 도구는 공개하지 않고, 정보 수집 도구만 바로 사용할 수 있는 형태로 제공하겠다는 것이었습니다.
시간이 지나면서 다른 많은 공개 보안 회사들이 공격용 도구를 공개하는 것을 보았고, 이제 우리의 공격용 도구 중 일부를 공개하는 것이 적절하다고 판단했습니다.
이 저장소에 있는 것 중 특별히 대단한 것은 없으며, BOF 형태의 기본적인 Microsoft Windows 작업들입니다. 이러한 기본 요소들은 매우 다양한 작업에 사용될 수 있습니다.
EDR 탐지 테스트를 할 때 사용하는 injection BOF들을 포함하기로 했습니다. 이 BOF들은 있는 그대로 제공되며 지원되지 않습니다 (src/Injection 및 Injection/* 아래의 모든 항목).
이것들을 사용하는 것은 환영하지만, 이와 관련하여 열린 이슈는 검토 없이 닫힐 것입니다.
| command | notes |
|---|---|
| adcs_request | 등록 인증서 요청 |
| chromeKey | 제공된 base64로 인코딩된 Chrome 키를 복호화 |
| enableuser | 지정된 사용자 계정을 활성화하고 잠금 해제 |
| lastpass | lastpass 비밀번호와 데이터를 chrome, brave 메모리에서 검색 |
| office_tokens | 모든 office 프로세스에서 Office JWT 토큰을 수집. |
| procdump | 지정된 프로세스를 지정된 출력 파일로 덤프 |
| ProcessDestroy | 프로세스의 핸들(들)을 닫음 |
| ProcessListHandles | 지정된 프로세스의 모든 열린 핸들을 나열 |
| reg_delete | 레지스트리 키를 삭제 |
| reg_save | 레지스트리 하이브를 디스크에 저장 |
| reg_set | 레지스트리 키를 설정 / 생성 |
| sc_config | 기존 서비스를 구성 |
| sc_create | 새 서비스를 생성 |
| sc_delete | 기존 서비스를 삭제 |
| sc_description | 기존 서비스의 설명을 수정 |
| sc_start | 기존 서비스를 시작 |
| sc_stop | 기존 서비스를 중지 |
| schtaskscreate | 새 예약 작업을 생성 (xml 정의를 통해) |
| schtasksdelete | 기존 예약 작업을 삭제 |
| schtasksstop | 실행 중인 예약 작업을 중지 |
| setuserpass | 사용자의 비밀번호를 설정 |
| shspawnas | 새로 생성된 프로세스에 코드를 주입하려는 잘못된 시도 |
네, schtasksrun은 없습니다, 네, 의도적입니다, 하지만 누군가 이에 대한 pull을 넣으면 이쪽에서 받아들이겠습니다.
이 저장소는 단일 작업 windows 기본 요소를 위한 것입니다. 즉, 여러 호출이 필요하더라도 예약 작업 생성은 적절합니다.
임플란트를 미리 생성하고 저장소의 BOF들을 사용하여 자동화된 이동을 수행하려는 명령은 훌륭하겠지만, 이 저장소에 직접 제출하기에는 적절하지 않습니다.
기여가 접수된 후, 심층적인 코드 리뷰와 테스트를 받게 됩니다.
테스트가 완료되면, 코드에 문제가 없을 때까지 발견된 사항에 따라 0회 이상의 변경 요청 라운드가 있을 것입니다. 그 시점에서 저장소에 수락되며, 귀하의 github 사용자 이름이 크레딧 목록에 추가됩니다 (추가되는 것을 원하지 않거나 다른 핸들을 사용하고 싶다면 알려주세요)
