BeaconHunter

Инструмент мониторинга и поиска на основе поведения, написанный на C# с использованием трассировки ETW. Синие команды могут использовать этот инструмент для обнаружения и реагирования на потенциальные маяки Cobalt Strike. Красные команды могут использовать этот инструмент для исследования обходов ETW и обнаружения новых процессов, ведущих себя как маяки.

Автор: Andrew Oliveau (@AndrewOliveau)

TL;DR

Импланты маяков, внедренные в безвредный процесс, живут в потоке с состоянием Wait:DelayExecution (вероятно, связанным с sleep Cobalt Strike). Найдите все процессы, содержащие поток в состоянии Wait:DelayExecution. Затем используйте трассировку ETW для конкретного мониторинга подозрительной активности потоков:

HTTP/HTTPS обратные вызовы
DNS-запросы
Файловая система (cd,ls,upload,rm)
Завершение процессов (kill)
Команды оболочки (run,execute)

Оценивайте подозрительное поведение. Регистрируйте, отображайте и предпринимайте действия против них.

Сборка / Установка

Предварительно скомпилированная

Релиз

или выполните git clone и перейдите в папку Release.

Версия .NET Framework

4.5

NuGet пакеты:

Инструменты -> Диспетчер пакетов NuGet -> Консоль диспетчера пакетов

Install-Package ConsoleTables -Version 2.4.2
Install-Package Microsoft.Diagnostics.Tracing.TraceEvent -Version 2.0.64
Install-Package System.Runtime.InteropServices.RuntimeInformation -Version 4.3.0

Запуск BeaconHunter

Откройте PowerShell или CMD от имени администратора
.\BeaconHunter.exe

МОНИТОРИНГ

Сетевой рейтинг маяка

Оценка определяется вычислением разницы во времени между обратными вызовами маяка (дельта), затем вычислением первой производной дельты и подстановкой результата в обратную функцию 100/x, где x — первая производная дельты. (Примечание: вероятно, есть способ лучше, но это работает)