LSTAR - Aggressor

Um plugin, do primeiro beacon ao domain controller para realizar o roaming na rede interna

Com o intuito de simplificar o menu de contexto (botão direito) do CS e facilitar a própria integração, referenciei um grande número de plugins de pós-exploração

Reconstruiu e ampliou funções como coleta de credenciais do host, tunelamento de múltiplos níveis na rede interna, tarefas agendadas ocultas, Mimikatz FUD (sem detecção) e clonagem/adição de usuários

Recursos:

Por meio dos métodos de beacon do CobaltStrike para hosts sem acesso direto à rede (TCP, SMB, Proxy), atravessa ambientes de rede complexos
Oferece múltiplos métodos de execução com evasão de antivírus para funções relacionadas a RDP, AddUser, LsassDump etc., lidando com ambientes incomuns
Integra diversos recursos FUD, como shadow users e tarefas agendadas ocultas, executados via WinAPI ou carregamento em memória com Assembly

Inclui principalmente os seguintes módulos de função:

Cada módulo adiciona uma linha divisória verde antes da execução, facilitando a localização das informações de retorno e melhorando a eficiência da colaboração

Plugin de notificação via WeChat quando um host do CobaltStrike fica online:

Se quiser usar o método gratuito, com suporte a mensagens modelo do WeChat, acesse: https://github.com/lintstar/CS-PushPlus

Se tiver um canal de push do WeChat corporativo por assinatura do ServerChan, acesse: https://github.com/lintstar/CS-ServerChan

Aviso de isenção de responsabilidade

Este projeto é aplicável apenas a pesquisas de segurança e a atividades legítimas de construção de segurança corporativa todas as consequências e responsabilidades são de responsabilidade do próprio usuário

Atualização 2022.1.15

Adicionadas funções FUD (sem detecção) de clonagem de usuário, adição de usuário e tarefas agendadas
Obtém o código de identificação e o código de verificação da versão mais recente do Sunflower (向日葵)
Integra recursos como a detecção de hosts ativos por múltiplos protocolos da versão 9.1.1 do Ladon
Classifica as funções e simplifica o menu secundário do plugin

InfoCollect

Os comandos de uso comum foram classificados de acordo com o cenário

SharpGetInfo

Integra a versão mais recente pública do Ladon, a 9.1.1

AntiVirusCheck

Exibe localmente as informações do antivírus na barra de status do Beacon

Princípio de implementação: https://blog.csdn.net/weixin_42282189/article/details/121090055

IntrScan

Adicionada a detecção de hosts ativos por múltiplos protocolos do Ladon (SMB, WMI, SNMP, HTTP, DNS, MAC, MSSQL)

Em certa medida, é possível detectar ativos da rede interna atrás de firewalls: Usando MAC para contornar o firewall e detectar hosts ativos

Detecção de IPs ativos

AuthPromote

BadPotato (BeichenDream)

Corrigido o bug que só permitia executar whoami; agora é possível obter beacon com privilégios de System por meio de parâmetros

Badpotato (Ladon)

Adicionado o Badpotato do Ladon

SweetPatato (Ladon)

Atenção: os testes mostraram que os dois métodos de elevação de privilégio acima são interceptados e eliminados por soluções antivírus

AuthMaintain

SharpSchTask

【Use com cautela】Utiliza a API do Windows para criar tarefas agendadas ocultas de forma automatizada, contornando o bloqueio de softwares de segurança para alcançar persistência de controle.

Endereço do projeto: https://github.com/0x727/SchTask_0x727