octoberfest7/enumhandles_bofCobalt Strike BOF para enumeração em tempo real de handles de arquivo abertos no Windows, revelando qual processo bloqueou um arquivo alvo em disco durante a pós-exploração.
Este BOF pode ser usado para identificar processos que possuem handles para um determinado arquivo. Isso pode ser útil para identificar qual processo está bloqueando um arquivo no disco.
Descobri que beacons x86 às vezes falham ao tentar enumerar handles associados a uma imagem x64. Por exemplo, executar enumhandles c:\windows\sysnative\svchost.exe pode causar uma falha.
Todo o crédito por esta técnica pertence a Grzegorz Tworek:
O tweet específico sobre esta técnica pode ser encontrado aqui.
