GeolocationBOF

Cobalt Strike BOF, который пытается получить координаты геолокации Windows без fork & run. Сначала использует WinRT Geolocator API, а затем возвращается к устаревшему ILocation API.

Реализация

Простой BOF, использующий геолокацию WinRT с возвратом к устаревшему ILocation. Переключает следующие ключи реестра:

• HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location
  • Value = Allow
• HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location\NonPackaged\<encoded process path>
  • Value = Allow
• Только для администратора: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location
  • Value = Allow
• Только для администратора: HKLM\SOFTWARE\Policies\Microsoft\Windows\LocationAndSensors
  • DisableLocation = 0
  • DisableWindowsLocationProvider = 0
• Только для администратора: HKLM\SOFTWARE\Policies\Microsoft\Windows\AppPrivacy
  • LetAppsAccessLocation = 1
• Только для администратора: HKLM\SYSTEM\CurrentControlSet\Services\lfsvc\Service\Configuration
  • Status = 1

Выполнение от имени администратора также временно изменяет тип запуска службы lfsvc на запуск по требованию и пытается запустить службу.

Все изменения отменяются после выполнения.

Самостоятельная компиляция

1. склонируйте репозиторий
2. выполните make

Использование

1. импортируйте скрипт GeoLocationBOF.cna в Cobalt Strike
2. используйте команду geolocation_bof

beacon> geolocation_bof
[*] Running geolocation_bof by (@codex_tf2)
[+] host called home, sent: 30095 bytes
[+] received output:
latitude=12.34567890
longitude=-12.34567890
accuracy_radius_meters=25.00

Примечания

• Службы геолокации Windows должны быть доступны на целевой системе.
• Настройки конфиденциальности местоположения, политики, датчики и доступность поставщика могут препятствовать получению результатов.
• Для включения разрешения на доступ к местоположению требуется контекст администратора, если оно еще не предоставлено.
• Временные изменения реестра для предоставления разрешений на местоположение отменяются перед завершением работы BOF.
• Какие-либо методы обхода не применяются — используйте собственные меры OPSEC.

Зачем я это сделал?

Этот BOF предназначен для предоставления прямого внутрипроцессного способа запроса данных геолокации Windows.

Благодарности

• https://github.com/MEhrn00/boflink

Отказ от ответственности

Обычный отказ от ответственности: я не несу ответственности за любые преступления против человечности, которые вы можете совершить, или ядерную войну, которую вы можете вызвать, используя этот плохо написанный код.