BokuLoader : Cobalt Strike Reflective Loader

Cobalt Strike의 회피 기능을 재현, 통합, 개선하는 것을 목표로 하는 개념 증명(PoC)용 User-Defined Reflective Loader (UDRL)입니다!

기여자:

기여자	Twitter	주요 기여
Bobby Cooke	@0xBoku	프로젝트 원저자 및 관리자
Santiago Pecin	@s4ntiago_p	Reflective Loader 주요 개선
Chris Spehn	@ConsciousHacker	Aggressor 스크립팅
Joshua Magri	@passthehashbrwn	IAT 후킹
Dylan Tran	@d_tranman	Reflective 콜 스택 스푸핑
James Yeung	@5cript1diot	간접 시스템 콜

UDRL 사용 시 고려 사항

내장된 Cobalt Strike reflective loader는 강력하며 Cobalt Strike가 제공하는 모든 Malleable PE 회피 기능을 처리합니다. 사용자 정의 UDRL을 사용할 때의 가장 큰 단점은 Malleable PE 회피 기능이 기본적으로 지원될 수도 있고 지원되지 않을 수도 있다는 것입니다.

공개 BokuLoader 프로젝트의 목표는 레드 팀이 자체적인 Cobalt Strike UDRL을 제작하는 것을 돕는 것입니다. 이 프로젝트는 가치 있는 모든 CS Malleable PE 회피 기능을 지원하는 것을 목표로 합니다. 일부 회피 기능은 CS 통합을 활용하고, 다른 기능은 완전히 재구현되었으며, 일부는 지원되지 않습니다.

이 프로젝트를 어떤 형태로든 사용하기 전에 회피 기능이 의도한 대로 작동하는지 제대로 테스트해야 합니다. C 코드와 Aggressor 스크립트 사이에서 운영 체제, 컴파일러, Java의 서로 다른 버전으로 컴파일하면 다른 결과가 나올 수 있습니다.

회피 기능

BokuLoader 고유 회피 기능

합성 프레임을 통한 Reflective 콜 스택 스푸핑.
사용자 정의 ASM/C reflective loader 코드
HellsGate 및 HalosGate 기법을 통한 간접 NT 시스템 콜
- 모든 할당 옵션에 대한 모든 메모리 보호 변경은 NtProtectVirtualMemory에 대한 간접 시스템 콜을 통해 수행됩니다.
사용자 정의 UDRL Aggressor 스크립트 구현을 통한 obfuscate "true"
NOHEADERCOPY
- 로더는 raw beacon DLL의 헤더를 가상 beacon DLL로 복사하지 않습니다. 처음 0x1000 바이트는 null이 됩니다.
심볼 해석을 위한 XGetProcAddress
- Kernel32.GetProcAddress를 사용하지 않습니다.
DLL의 기본 주소 해석 및 DLL 로딩을 위한 xLoadLibrary
- 로드된 DLL의 경우 TEB->PEB->PEB_LDR_DATA->InMemoryOrderModuleList에서 DLL 기본 주소를 가져옵니다.
- Kernel32.LoadLibraryA를 사용하지 않습니다.
문자열 난독화를 위한 시저 암호(Caesar Cipher)
100k UDRL 크기
가져온(import) DLL 이름과 import 항목 이름 문자열은 가상 beacon DLL에서 스톰프(stomp) 처리됩니다.

지원되는 Malleable PE 회피 기능

테스트

(2023/02/22) 4가지 할당자 방식 모두 threatexpress/malleable-c2/master/jquery-c2.4.7.profile로 테스트됨

프로젝트 배경

Stephen Fewer의 놀라운 Reflective Loader 프로젝트를 기반으로 함:
- https://github.com/stephenfewer/ReflectiveDLLInjection
처음에는 Sektor7 Malware Developer Intermediate (MDI) 과정에서 Renz0h의 Reflective DLL 동영상을 학습하면서 만들어짐

사용 방법

make로 BokuLoader 오브젝트 파일을 컴파일합니다.
Cobalt Strike 팀 서버를 시작합니다.
Cobalt Strike에서 BokuLoader.cna Aggressor 스크립트를 가져옵니다.
x64 beacon을 생성합니다 (Attacks -> Packages -> Windows Executable (S))
Script Console을 사용하여 beacon 빌드에 BokuLoader가 구현되었는지 확인합니다.

x86 옵션은 지원하지 않습니다. x86 bin은 원래 Reflective Loader 오브젝트 파일입니다.
RAW beacon 생성은 기본적으로 바로 작동합니다. beacon 로더에 Artifact Kit을 사용하는 경우 stagesize 변수가 기본값보다 커야 합니다.
추가 정보는 Cobalt Strike User-Defined Reflective Loader 문서를 참조하십시오.

탐지 지침

하드코딩된 문자열

BokuLoader는 일반적으로 탐지되는 일부 문자열을 새로운 하드코딩된 값으로 변경합니다. 이러한 문자열은 BokuLoader를 시그니처링하는 데 사용할 수 있습니다:

원본 Cobalt Strike 문자열	BokuLoader Cobalt Strike 문자열
ReflectiveLoader	BokuLoader
Microsoft Base Cryptographic Provider v1.0	12367321236742382543232341241261363163151d
(admin)	(tomin)
beacon	bacons

메모리 할당자

DLL 모듈 스톰핑

DLL을 디스크에서 매핑하기 위해 Kernel32.LoadLibraryExA가 호출됩니다.
Kernel32.LoadLibraryExA의 세 번째 인자는 DONT_RESOLVE_DLL_REFERENCES (0x00000001)입니다.
- 시스템이 DllMain을 호출하지 않습니다.
MDSec이 여기에서 설명한 대로 LDR PEB 항목의 주소를 해석하지 않습니다.
pe-sieve 도구로 프로세스 메모리를 스캔하여 탐지할 수 있습니다.

힙 할당

sleepmask kit을 사용하지 않으면 힙에 실행 가능한 RX 또는 RWX 메모리가 존재하게 됩니다.

매핑 할당자

가상 beacon DLL의 메모리를 할당하기 위해 Kernel32.CreateFileMappingA 및 Kernel32.MapViewOfFile이 호출됩니다.

Sleepmask 탐지

sleepmask kit을 사용하는 경우, MDSec이 여기에서 설명한 대로 이 독립적인 메모리 할당에 대한 탐지 방법이 존재합니다.

간접 시스템 콜

BokuLoader는 로드된 실행 가능한 beacon 메모리를 설정하기 위해 다음 NT 시스템 콜을 호출합니다: NtAllocateVirtualMemory, NtProtectVirtualMemory
이들은 BokuLoader 실행 메모리에서 간접적으로 호출됩니다.
ntdll.dll에 사용자 영역 후크를 설정해도 이러한 시스템 콜을 탐지할 수 없습니다.
커널 드라이버를 사용하여 커널 콜백을 등록하면 위의 시스템 콜을 모니터링하고 그 사용을 탐지하는 것이 가능할 수 있습니다.
BokuLoader 자체는 실행 메모리 내에 mov eax, r11d; mov r11, r10; mov r10, rcx; jmp r11 어셈블리 명령을 포함합니다.

가상 Beacon DLL 헤더

가상 beacon DLL의 처음 0x1000 바이트는 0입니다.

소스 코드 제공

BokuLoader 소스 코드는 저장소 내에 제공되며 메모리 시그니처를 만드는 데 사용할 수 있습니다.
추가 탐지 지침이 있다면 풀 리퀘스트를 제출하여 자유롭게 기여해 주시기 바랍니다.

크레딧 / 참고 자료

Reflective 콜 스택 스푸핑

Reflective Loader

https://github.com/stephenfewer/ReflectiveDLLInjection
Reflective DLL에 관심이 있다면 다음 동영상을 확인하십시오:
TitanLdr
AceLdr
KaynLdr

HalosGate SysCaller

@SEKTOR7net의 Reenz0h
- Reenz0h의 훌륭한 과정과 블로그를 확인하십시오!
- 제가 수강한 악성코드 개발 과정 중 최고입니다.
- halos gate 기법의 창시자입니다. 그의 작업이 처음에 이 프로젝트의 동기가 되었습니다.
- Sektor7 HalosGate Blog

HellsGate Syscaller

@smelly__vx 및 @am0nsec ( Hells Gate 기법의 창시자/공개자 )
- 그들이 없었다면 제 HellsGate 구현은 불가능했을 것입니다 :)
- 이 방법에 대한 훌륭한 작업입니다. 직접 구현해 보면서 정말 즐거웠습니다. 감사합니다!
- https://github.com/am0nsec/HellsGate
- Hell's Gate 논문 링크: https://vxug.fakedoma.in/papers/VXUG/Exclusive/HellsGate.pdf

ETW 및 AMSI 우회

@anthemtotheego inline-ExecuteAssembly
@mariuszbit - reflective loader에 우회 기능을 구현하는 훌륭한 아이디어를 주셨습니다!
@XPN .NET 숨기기 – ETW
ajpc500/BOFs
Offensive Security OSEP

`allocator`	HeapAlloc, MapViewOfFile, VirtualAlloc	모두 BokuLoader 구현을 통해 지원됨
`module_x64`	문자열(DLL 이름)	BokuLoader 구현을 통해 지원됨. CS 구현과 동일한 DLL 스톰핑 요구 사항이 적용됩니다
`obfuscate`	true/false	HTTP/S 비콘은 BokuLoader 구현을 통해 지원됨. SMB/TCP는 현재 obfuscate true를 지원하지 않음. 자세한 내용은 이슈 참조. 수정할 수 있다면 도움을 환영합니다 :)
`entry_point`	십진수 RVA	BokuLoader 구현을 통해 지원됨
`cleanup`	true	CS 통합을 통해 지원됨
`userwx`	true/false	BokuLoader 구현을 통해 지원됨
`sleep_mask`	(true/false) 또는 (Sleepmask Kit+true)	지원됨. 기본 "sleepmask true"(sleepmask kit 없이)를 사용하는 경우 "userwx true"로 설정하십시오. RX beacon.text 메모리(`src47/Ekko`)를 지원하는 sleepmask kit을 사용하는 경우 "sleepmask true" && "userwx false"로 설정하십시오.
`magic_mz_x64`	4자 문자열	CS 통합을 통해 지원됨
`magic_pe`	2자 문자열	CS 통합을 통해 지원됨
`transform-x64 prepend`	이스케이프된 16진수 문자열	`BokuLoader.cna` Aggressor 스크립트 수정
`transform-x64 strrep`	문자열 문자열	`BokuLoader.cna` Aggressor 스크립트 수정
`stomppe`	true/false	지원되지 않음. BokuLoader는 beacon DLL 헤더를 복사하지 않습니다. 가상 beacon DLL의 처음 `0x1000` 바이트는 `0x00`입니다.
`checksum`	숫자	실험적. `BokuLoader.cna` Aggressor 스크립트 수정
`compile_time`	날짜-시간 문자열	실험적. `BokuLoader.cna` Aggressor 스크립트 수정
`image_size_x64`	십진수 값	지원되지 않음
`name`	문자열	실험적. `BokuLoader.cna` Aggressor 스크립트 수정
`rich_header`	이스케이프된 16진수 문자열	실험적. `BokuLoader.cna` Aggressor 스크립트 수정
`stringw`	문자열	지원되지 않음
`string`	문자열	지원되지 않음

BokuLoader

인기