ccob/beaconeyeОбнаруживает маяки CobaltStrike и регистрирует вывод команд оператора
BeaconEye сканирует запущенные процессы на предмет активных бекдоров CobaltStrike. Когда обнаруживается процесс, запускающий бекдор, BeaconEye начинает мониторинг каждого процесса на предмет C2-активности.
BeaconEye сканирует живые процессы или файлы MiniDump на предмет подозрительных бекдоров CobaltStrike. В режиме живых процессов BeaconEye опционально прикрепляется как отладчик и начинает мониторинг активности бекдора для C2-трафика (в настоящее время поддерживаются HTTP/HTTPS бекдоры).
Ключи AES, используемые для шифрования C2-данных и malleable профиля, декодируются на лету, что позволяет BeaconEye извлекать и расшифровывать вывод бекдора, когда команды отправляются оператором.
Папка с логами активности создаётся для каждого процесса относительно текущей директории, из которой запускается BeaconEye.
BeconEye by @_EthicalChaos_
CobaltStrike beacon hunter and command monitoring tool x86_64
-v, --verbose Display more verbose output instead of just
information on beacons found
-m, --monitor Attach to and monitor beacons found when scanning
live processes
-f, --filter=VALUE Filter process list with names starting with x (
live mode only)
-d, --dump=VALUE A folder to use for MiniDump mode to scan for
beacons (files with *.dmp or *.mdmp)
-h, --help Display this help
sleep_maskBeaconEye может обнаруживать все типы бекдоров, но мониторить только HTTP/HTTPS бекдоры. В настоящее время декодируется только вывод команд, а не запросы команд. См. список TODO ниже для полного списка планируемых функций.
BeaconEye следует считать ALPHA-версией, я заинтересован в получении обратной связи о бекдорах 4.x, которые не удаётся обнаружить, или о случаях, когда malleable C2 профиль был разобран неправильно, что привело к некорректному декодированию вывода.