flangvik/azurec2relayФункция Azure, которая проверяет и ретранслирует трафик маяков Cobalt Strike с использованием гибких профилей C2, перенаправляя недействительные запросы на подставной сайт и направляя проверенный трафик на командный сервер через SSH.
AzureC2Relay — это функция Azure, которая проверяет и ретранслирует трафик маяков Cobalt Strike, верифицируя входящие запросы на основе профиля Cobalt Strike Malleable C2. Любые входящие запросы, не содержащие user-agent, пути URI, заголовки и параметры запроса профиля, будут перенаправлены на настраиваемый сайт-приманку. Проверенный трафик C2 ретранслируется на сервер команды (team server) в той же виртуальной сети, которая дополнительно ограничена группой безопасности сети, что позволяет виртуальной машине открывать только SSH.
AzureC2Relay развертывается с помощью модулей terraform для Azure, а также некоторых локальных команд az cli.
Убедитесь, что у вас установлены terraform, az cli и среда выполнения dotnet core 3.1.
Windows (Powershell)
&([scriptblock]::Create((Invoke-WebRequest -UseBasicParsing 'https://dot.net/v1/dotnet-install.ps1'))) -runtime dotnet -version 3.1.0
Invoke-WebRequest 'https://releases.hashicorp.com/terraform/0.14.6/terraform_0.14.6_windows_amd64.zip' -OutFile 'terraform.zip'
Expand-Archive -Path terraform.zip -DestinationPath "$([Environment]::GetFolderPath('ApplicationData'))\TerraForm\"
setx PATH "%PATH%;$([Environment]::GetFolderPath('ApplicationData'))\TerraForm\"
Invoke-WebRequest -Uri https://aka.ms/installazurecliwindows -OutFile .\AzureCLI.msi; Start-Process msiexec.exe -Wait -ArgumentList '/I AzureCLI.msi /quiet'; rm .\AzureCLI.msi
Mac
curl -L https://dot.net/v1/dotnet-install.sh | bash -s -- --runtime dotnet --version 3.1.0
brew update
brew tap hashicorp/tap
brew install hashicorp/tap/terraform
brew install azure-cli
Ubuntu, Debian
curl -L https://dot.net/v1/dotnet-install.sh | bash -s -- --runtime dotnet --version 3.1.0
wget https://releases.hashicorp.com/terraform/0.14.5/terraform_0.14.5_linux_amd64.zip
unzip terraform_0.14.5_linux_amd64.zip
sudo cp terraform /usr/local/bin/terraform
curl -sL https://aka.ms/InstallAzureCLIDeb | sudo bash
Kali
curl -L https://dot.net/v1/dotnet-install.sh | bash -s -- --runtime dotnet --version 3.1.0
wget https://releases.hashicorp.com/terraform/0.14.5/terraform_0.14.5_linux_amd64.zip
unzip terraform_0.14.5_linux_amd64.zip
sudo cp terraform /usr/local/bin/terraform
echo "deb [arch=amd64] https://packages.microsoft.com/repos/azure-cli/ stretch main" | sudo tee /etc/apt/sources.list.d/azure-cli.list
curl -L https://packages.microsoft.com/keys/microsoft.asc | sudo apt-key add -
sudo apt-get update && sudo apt-get install apt-transport-https azure-cli
config.tf, в соответствии с вашими потребностямиaz loginterraform initterraform apply -auto-approve для развертывания инфраструктурыПосле завершения работы terraform он предоставит необходимую команду SSH. Сервер команды CobaltStrike будет запущен в сессии tmux на развернутой виртуальной машине.
Когда вы закончите использовать инфраструктуру, вы можете удалить ее с помощью terraform destroy -auto-approve.