Cobalt Strike CheatSheet

Notas gerais e conselhos para o framework C2 Cobalt Strike.

Sumário

Cobalt Strike: O primeiro e mais básico menu, contém a funcionalidade para conectar a um team server, definir suas preferências, alterar a visualização das sessões de beacon, gerenciar listeners e scripts aggressor.
View: O menu View consiste em elementos que gerenciam alvos, logs, credenciais coletadas, capturas de tela, teclas digitadas etc. Seu principal propósito é fornecer uma maneira fácil de acessar a saída de muitos módulos, gerenciar seus loots e alvos de domínio.
Attacks: Este menu contém inúmeros métodos de geração de ataques do lado do cliente, como e-mails de phishing, clonagem de sites e hospedagem de arquivos. Também fornece inúmeras maneiras de gerar seus payloads de beacon ou apenas gerar shellcode e salvá-lo para uso posterior em outra ferramenta de ofuscação.
Reporting: Fornece uma maneira fácil de gerar arquivos pdf ou planilhas contendo informações sobre a execução de um ataque, desta forma auxilia na organização de pequenos relatórios, tornando o processo de redação do relatório final mais fácil.
Help: Menu de ajuda básico da ferramenta.

HTTP/HTTPS: Os payloads mais básicos para beacon, por padrão os listeners escutarão nas portas 80 e 443 com sempre a opção de definir portas personalizadas. Você tem a opção de definir configurações de proxy, personalizar o cabeçalho HTTP ou especificar uma porta de bind para redirecionar o tráfego do beacon caso a infraestrutura utilize servidores redirector para os callbacks do payload.
DNS: Uma opção de payload muito furtiva, fornece tráfego mais furtivo sobre o protocolo dns, você precisa especificar o servidor DNS ao qual se conectar. A melhor situação para usar este tipo de listener é em um ambiente realmente restrito que bloqueia até mesmo tráfego comum como as portas 80 e 443.

TCP: Um listener tcp básico que é vinculado a uma porta específica.
SMB: Uma opção incrível para propagação interna e movimentação lateral, este payload usa named pipes sobre o protocolo smb e é a melhor abordagem para contornar firewalls quando até mesmo portas padrão como 80 e 443 estão na lista negra.

Foreign HTTP/HTTPS: Estes tipos de listeners nos dão a opção de passar uma sessão do framework metasploit para o cobalt strike usando payloads http ou https. Um exemplo útil é executar um módulo de exploit do metasploit e obter uma sessão de beacon no cobalt strike.
External C2: Este é um tipo especial de listener que dá a opção a aplicações de terceiros de atuar como meio de comunicação para o beacon.