BeaconHunter

Ferramenta de monitoramento e caça baseada em comportamento construída em C# utilizando rastreamento ETW. Equipes azuis podem usar esta ferramenta para detectar e responder a potenciais beacons do Cobalt Strike. Equipes vermelhas podem usar esta ferramenta para pesquisar bypass de ETW e descobrir novos processos que se comportam como beacons.

Autor: Andrew Oliveau (@AndrewOliveau)

TL;DR

Implantes de beacon injetados em um processo benigno vivem em uma thread com estado Wait:DelayExecution (provavelmente relacionado ao sleep do Cobalt Strike). Encontre todos os processos que contêm uma thread em estado Wait:DelayExecution. Então, utilize o rastreamento ETW para monitorar especificamente atividades suspeitas de thread:

Callbacks HTTP/HTTPS
Consultas DNS
Sistema de arquivos (cd,ls,upload,rm)
Terminação de processos (kill)
Comandos de shell (run,execute)

Pontue comportamentos suspeitos. Registre, exiba e tome ações contra eles.

Compilação / Instalação

Pré-compilado

Lançamento

ou git clone e vá para a pasta Release.

Versão do .NET Framework

4.5

Pacotes NuGet:

Tools -> NuGet Package Manager -> Package Manager Console

Install-Package ConsoleTables -Version 2.4.2
Install-Package Microsoft.Diagnostics.Tracing.TraceEvent -Version 2.0.64
Install-Package System.Runtime.InteropServices.RuntimeInformation -Version 4.3.0

Executando o BeaconHunter

Abra o PowerShell ou CMD como Administrador
.\BeaconHunter.exe

MONITORAR

Pontuação de Beacon de Rede

A pontuação é determinada calculando a diferença de tempo entre callbacks de beacon (delta), então calculando a primeira derivada de delta, e então alimentando a resposta em uma função inversa 100/x onde x é a primeira derivada de delta. (Nota: Provavelmente existe uma maneira melhor, mas funciona)