flangvik/azurec2relayFunção Azure que valida e retransmite o tráfego de beacon do Cobalt Strike usando perfis C2 maleáveis, redirecionando requisições inválidas para um site isca e encaminhando o tráfego validado para um servidor de equipe via SSH.
O AzureC2Relay é uma Função Azure que valida e retransmite o tráfego de beacons do Cobalt Strike, verificando as requisições recebidas com base em um perfil Malleable C2 do Cobalt Strike. Qualquer requisição recebida que não compartilhe o user-agent, os caminhos URI, os cabeçalhos e os parâmetros de consulta do perfil será redirecionada para um site isca configurável. O tráfego C2 validado é retransmitido para um team server dentro da mesma rede virtual, que é posteriormente restringido por um grupo de segurança de rede. Permitindo que a VM exponha apenas SSH.
O AzureC2Relay é implantado por meio de módulos terraform do Azure, bem como alguns comandos locais da az cli
Certifique-se de ter o terraform, az cli e o runtime dotnet core 3.1 instalados
Windows (Powershell)
&([scriptblock]::Create((Invoke-WebRequest -UseBasicParsing 'https://dot.net/v1/dotnet-install.ps1'))) -runtime dotnet -version 3.1.0
Invoke-WebRequest 'https://releases.hashicorp.com/terraform/0.14.6/terraform_0.14.6_windows_amd64.zip' -OutFile 'terraform.zip'
Expand-Archive -Path terraform.zip -DestinationPath "$([Environment]::GetFolderPath('ApplicationData'))\TerraForm\"
setx PATH "%PATH%;$([Environment]::GetFolderPath('ApplicationData'))\TerraForm\"
Invoke-WebRequest -Uri https://aka.ms/installazurecliwindows -OutFile .\AzureCLI.msi; Start-Process msiexec.exe -Wait -ArgumentList '/I AzureCLI.msi /quiet'; rm .\AzureCLI.msi
Mac
curl -L https://dot.net/v1/dotnet-install.sh | bash -s -- --runtime dotnet --version 3.1.0
brew update
brew tap hashicorp/tap
brew install hashicorp/tap/terraform
brew install azure-cli
Ubuntu, Debian
curl -L https://dot.net/v1/dotnet-install.sh | bash -s -- --runtime dotnet --version 3.1.0
wget https://releases.hashicorp.com/terraform/0.14.5/terraform_0.14.5_linux_amd64.zip
unzip terraform_0.14.5_linux_amd64.zip
sudo cp terraform /usr/local/bin/terraform
curl -sL https://aka.ms/InstallAzureCLIDeb | sudo bash
Kali
curl -L https://dot.net/v1/dotnet-install.sh | bash -s -- --runtime dotnet --version 3.1.0
wget https://releases.hashicorp.com/terraform/0.14.5/terraform_0.14.5_linux_amd64.zip
unzip terraform_0.14.5_linux_amd64.zip
sudo cp terraform /usr/local/bin/terraform
echo "deb [arch=amd64] https://packages.microsoft.com/repos/azure-cli/ stretch main" | sudo tee /etc/apt/sources.list.d/azure-cli.list
curl -L https://packages.microsoft.com/keys/microsoft.asc | sudo apt-key add -
sudo apt-get update && sudo apt-get install apt-transport-https azure-cli
config.tf conforme suas necessidadesaz loginterraform initterraform apply -auto-approve para implantar a infraestruturaQuando o terraform terminar, ele fornecerá o comando ssh necessário; o teamserver do CobaltStrike estará em execução dentro de uma sessão tmux na VM implantada.
Quando terminar de usar a infraestrutura, você pode removê-la com terraform destroy -auto-approve