kuwaitist/astral_projectionCobalt Strike UDRL que realiza module stomping avançado usando VEH para interceptar chamadas, desmapear módulos durante o sono, e remapear módulos frescos para evadir IOCs.
Astral Projection é um UDRL (User-Defined Reflective Loader) do Cobalt Strike, que realiza module stomping avançado.
O UDRL carrega um módulo usando LoadLibraryExW, então manipula seus internos definindo um VEH para interceptar chamadas estratégicas que permitem roubar o handle da seção da DLL sacrificial e atualizar seus direitos de acesso para uso posterior na sleep mask. Durante a suspensão, ele desmapeia o módulo enquanto mantém as entradas PEB intactas, então remapeia um módulo novo para evitar quaisquer IOCs enquanto dorme.
Este projeto é construído com Crystal Palace. Parte do código foi adotado do projeto Crystal-Kit.
Uma postagem técnica do blog cobrindo as técnicas usadas em detalhes pode ser encontrada aqui.
stage {
set sleep_mask "false";
set cleanup "true";
transform-obfuscate { }
}
post-ex {
set cleanup "true";
set smartinject "true";
}
crystalpalace.jar para o diretório do cliente Cobalt Strike.Astral_Projection.cna.