cobaltstrike-sleepmask-yara

Просто git-репозиторий для правила обнаружения sleepmask, которое я нашёл в https://codex-7.gitbook.io/codexs-terminal-window/blue-team/detecting-cobalt-strike/sleep-mask-kit-iocs

tl;dr

Суть в том, что эти байты являются частью sleep mask kit необфусцированной секции .text и не обфусцируются во время сна. При встроенной технике sleepmasking невозможно зашифровать эту область, так как она должна оставаться исполняемой для пробуждения beacon. Более новые техники, такие как использование Timers и NtContinue APCs, не страдают от этой проблемы. Согласно этому посту в блоге MDSec: https://www.mdsec.co.uk/2022/07/part-2-how-i-met-your-beacon-cobalt-strike/, эта сигнатура срабатывала только при отключённой настройке "userwx".

Разработано и протестировано на CobaltStrike 4.6.1