CobaltBus

Интеграция Cobalt Strike External C2 с Azure Servicebus, трафик C2 через Azure Servicebus

Настройка

1. Создайте Azure Service Bus
2. Создайте политику общего доступа (строку подключения) с правами только на отправку и прослушивание.
3. Отредактируйте статическую переменную connectionString в проектах C# Beacon, чтобы она соответствовала значению «Primary Connection String» для политики общего доступа, созданной на шаге 2.
4. Те же переменные необходимо обновить для проекта CobaltBus, но нужно использовать «Primary Connection String» для политики общего доступа «RootManageSharedAccessKey». (Требуется разрешение «manage»)
5. Настройте Cobalt и запустите внешний C2-слушатель на порту 4444, 127.0.0.1 (можно изменить, отредактировав переменные ExternalC2Port и ExternalC2Ip в проекте C#)

Демонстрационное видео

Как это работает?

Затем двоичный файл CobaltBus DotNetCore, который интегрируется с ExternalC2 от CobaltStrike, создаст локальную базу данных SqliteDB для отслеживания нескольких beacon'ов. Входящие сообщения в CobaltBus будут захватываться и записываться в базу данных. Базы данных с именами "CobaltBus.db" и "CobaltBus-log.db" будут созданы в каталоге, откуда запускается CobaltBus.dll. Как только двоичный файл Beacon запускается, он отправляет сообщение "INITIALIZE" в очередь baseQueueName с случайно сгенерированными BeaconId и Pipename. Обработчик CobaltBus затем захватывает это, создает и переходит в две новые очереди на основе отправленного BeaconId, запрашивает stager shellcode у CobaltStrike и отправляет его обратно в новую очередь как сообщение "INJECT". После этого проект Beacon внедряет захваченный shellcode в память и устанавливает соединение с beacon'ом CobaltStrike через сгенерированное имя канала. Когда команда отправляется из CobaltBus, она помещается в соответствующую очередь beacon'а и передается в именованный канал beacon'а.

Соображения OpSec

Текущий поток сообщений имеет множество недостатков, которые необходимо устранить, прежде чем я бы рассмотрел использование этого для реальных операций. Считайте это грязным POC. Если бы только был эксперт по мышам и C2, который мог бы сделать это безопасным для использования....

Благодарности

Основная заслуга в работе, проделанной @ryHanson https://github.com/ryhanson/ExternalC2