CobaltBus

Integração do Cobalt Strike External C2 com Azure Servicebus, tráfego C2 via Azure Servicebus

Configuração

1. Crie um Azure Service Bus
2. Crie uma política de acesso compartilhado (string de conexão) que possa apenas Enviar e Ouvir
3. Edite a variável estática connectionString nos projetos C# do Beacon para corresponder ao valor da "Cadeia de Conexão Primária" para a política de acesso compartilhado criada no passo 2.
4. As mesmas variáveis precisam ser atualizadas para o projeto CobaltBus, mas a "Cadeia de Conexão Primária" para a política de acesso compartilhado "RootManageSharedAccessKey" deve ser usada. (Requer a permissão "gerenciar")
5. Configure o Cobalt e inicie um listener External C2 na porta 4444, 127.0.0.1 (pode ser alterado editando as variáveis ExternalC2Port e ExternalC2Ip no projeto C#)

Vídeo de Demonstração

Como funciona?

O binário DotNetCore do CobaltBus que se integra com o ExternalC2 do CobaltStrike criará um banco de dados Sqlite local para rastrear múltiplos beacons. As mensagens recebidas pelo CobaltBus serão capturadas e escritas no banco de dados. Os bancos de dados com nomes "CobaltBus.db" e "CobaltBus-log.db" serão criados no diretório onde CobaltBus.dll está sendo executado. Quando um binário Beacon é executado, ele enviará uma mensagem "INITIALIZE" para a fila baseQueueName, com um BeaconId e PipeName gerados aleatoriamente. O manipulador do CobaltBus então capturará isso, criará e moverá para as duas novas filas com base no BeaconId enviado, solicitará shellcode do stager do CobaltStrike e o enviará de volta pela nova fila como uma mensagem "INJECT". A partir daqui, o projeto Beacon injeta o shellcode capturado na memória e estabelece uma conexão com o beacon do CobaltStrike através do nome do pipe gerado. Quando um comando é emitido do CobaltBus, ele é enviado pela fila respectiva do beacon para o nome do pipe do beacon.

Considerações de Opsec

O fluxo de mensagens atual tem várias falhas que precisariam ser corrigidas antes que eu considerasse usar isso em operações reais. Considere isso um POC sujo. Se ao menos houvesse um especialista em mouse e C2 que pudesse tornar isso seguro para uso....

Créditos

Crédito principal ao trabalho feito por @ryHanson https://github.com/ryhanson/ExternalC2