GeolocationBOF

Um BOF do Cobalt Strike que tenta recuperar coordenadas de geolocalização do Windows sem fork & run. Ele usa a API WinRT Geolocator primeiro e, em segundo plano, recorre à API legada ILocation.

Implementação

BOF simples que usa geolocalização WinRT com recurso à legada ILocation. Irá modificar as seguintes chaves de registro:

• HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location
  • Value = Allow
• HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location\NonPackaged\<encoded process path>
  • Value = Allow
• Admin only: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location
  • Value = Allow
• Admin only: HKLM\SOFTWARE\Policies\Microsoft\Windows\LocationAndSensors
  • DisableLocation = 0
  • DisableWindowsLocationProvider = 0
• Admin only: HKLM\SOFTWARE\Policies\Microsoft\Windows\AppPrivacy
  • LetAppsAccessLocation = 1
• Admin only: HKLM\SYSTEM\CurrentControlSet\Services\lfsvc\Service\Configuration
  • Status = 1

A execução como administrador também altera temporariamente o tipo de inicialização do serviço lfsvc para início sob demanda e tenta iniciar o serviço.

Todas as alterações são desfeitas após a execução.

Compilação Própria

1. faça git clone do repositório
2. execute make

Uso

1. importe o script GeoLocationBOF.cna no Cobalt Strike
2. use o comando geolocation_bof

beacon> geolocation_bof
[*] Running geolocation_bof by (@codex_tf2)
[+] host called home, sent: 30095 bytes
[+] received output:
latitude=12.34567890
longitude=-12.34567890
accuracy_radius_meters=25.00

Notas

• Os serviços de localização do Windows devem estar disponíveis no alvo.
• Configurações de privacidade de localização, política, sensores e disponibilidade do provedor podem impedir resultados.
• Contexto de administrador é necessário para ativar a permissão de localização, se ainda não estiver concedida.
• Alterações temporárias no registro feitas para conceder permissões de localização e restauradas antes da saída do BOF.
• Nenhuma evasão é realizada - aplique sua própria OPSEC.

Por que criei isso?

Este BOF tem como objetivo fornecer uma maneira direta no processo de solicitar dados de geolocalização do Windows.

Créditos

• https://github.com/MEhrn00/boflink

Aviso Legal

aviso legal usual aqui, não sou responsável por qualquer crime contra a humanidade que você possa cometer ou guerra nuclear que você possa causar usando este pedaço de código mal escrito.