Crystal Kit

Este repositório é um experimento técnico e social para explorar se substituir as primitivas de evasão do Cobalt Strike (Sleepmask/BeaconGate) por um Crystal Palace PICO é viável (ou até mesmo desejável) para cenários avançados de evasão.

Uso

1. Desative o sleepmask e as ofuscações de stage no Malleable C2.

stage {
    set sleep_mask "false";
    set cleanup "true";
    transform-obfuscate { }
}

post-ex {
    set cleanup "true";
    set smartinject "true";
}

2. Copie crystalpalace.jar para o diretório do cliente Cobalt Strike.
3. Carregue crystalkit.cna.

Notas

• Testado no Cobalt Strike 4.12.
• Pode funcionar com qualquer capacidade de DLL pós-ex.