Сценарий агрессора для проверки здоровья Beacon

Джо Вест (Twitter: @joevest)

Описание

Этот сценарий агрессора использует поле заметок beacon для указания статуса здоровья beacon. Это делается путем ...

• Отслеживание текущего времени сна/джиттера каждого beacon
• Расчет здоровья на основе "максимального ожидаемого времени проверки"
• Обновление поля заметок соответствующим значком каждую минуту с помощью события heartbeat_1m
• Пометка новых beacon как "NEW" с временем прибытия
• Добавление ID beacon и PID в начальное сообщение журнала событий beacon

Демонстрация

Демонстрация на YouTube

Проверки здоровья и значки

☑ - символ указывает, что beacon активен и работает

Рассчитывается как последняя проверка меньше максимального ожидаемого времени проверки (sleep + (sleep * .01 * jitter))

т.е., beacon с sleep 300 20 будет иметь максимальное ожидаемое время проверки 360, рассчитанное как 300 + (300 * .01 * 20).

💀 - символ указывает, что beacon умер

Рассчитывается как время последней проверки больше максимального ожидаемого времени проверки * 2. Это известно как "мертвое время".

т.е., beacon с sleep 300 20 будет иметь мертвое время 720.

❎ - символ указывает, что beacon был убит оператором.

Если beacon['alive'] равно false, то оператор убил/вышел из этого beacon, и beacon подтвердил команду выхода.

⚠ - символ указывает, что beacon умирает

Рассчитывается как последняя проверка больше максимального ожидаемого времени проверки и меньше мертвого времени.

⏸ - символ указывает, что beacon приостановлен.

Это связанный beacon, который был отключен, но все еще считается живым. Эти beacons зависят от родительского для связи. Вместо того чтобы помечать их как мертвые, они помечаются как приостановленные. Нет хорошего способа отслеживать процессы отключенных beacons.

Ниже показано, как выглядят эти значки в клиенте Cobalt Strike.

ID beacon и PID были добавлены в начальное сообщение журнала событий beacon.

Использование

Загрузите файл beaconhealth.cna через менеджер сценариев.

Используйте функцию get_BeaconHealthCheck_settings в консоли сценариев для просмотра отслеживания сна/джиттера beacon.

Что вам следует знать о сценарии

• Он использует поле заметок. Вы можете редактировать его как угодно. Первый символ заметки будет обновлен во время проверки здоровья соответствующим символом.
• Связанные beacons не имеют сна. Сны отслеживаются родительским элементом связанного beacon.
• Настройки сна не проверяются перед отслеживанием. Установка сна на мертвом beacon может привести к изменению символа до того, как фактический сон будет обработан beacon.
• Проверка здоровья предназначена для мониторинга долго работающих beacons.
  • Здоровье измеряется каждую минуту
  • Это все еще может быть слишком агрессивным
  • Вы можете настроить время, изменив событие heartbeat, которое запускает проверку.
• База данных отслеживания не является постоянной. Если вы закроете клиент Cobalt Strike и переподключитесь, база данных будет обновлена, и beacons могут быть помечены как NEW