LSTAR - Aggressor

Плагин от загрузки до контроля домена — реализация перемещения по внутренней сети

С целью упрощения правого клика CS и удобства интеграции, с опорой на множество пост-эксплуатационных плагинов

Переработаны и расширены функции сбора учетных данных хоста, многоуровневого туннелирования внутренней сети, скрытых заданий по расписанию, обфусцированного Mimikatz и клонирования/добавления пользователей

Функциональные возможности：

Использование методов загрузки хостов без выхода в сеть (TCP, SMB, Proxy) совместно с CobaltStrike для проникновения в сложные сетевые среды
Предоставление множества методов выполнения с обфускацией для функций RDP, AddUser, LsassDump и других, для работы в нестандартных средах
Интеграция множества обфусцированных функций, таких как теневые пользователи и скрытые задания по расписанию, работающие через WinAPI или Assembly в памяти

Основные модули включают：

Перед каждым модулем добавляется зеленая разделительная линия для удобства поиска вывода и повышения эффективности совместной работы

Плагин уведомлений WeChat при подключении хоста CobaltStrike:

Если вы хотите использовать бесплатный способ с шаблонными сообщениями WeChat, перейдите по ссылке: https://github.com/lintstar/CS-PushPlus

Если у вас есть подписка на канал корпоративного WeChat ServerChan, перейдите по ссылке: https://github.com/lintstar/CS-ServerChan

Отказ от ответственности

Данный проект предназначен только для исследований в области безопасности и законных корпоративных мероприятий по обеспечению безопасности. Все последствия и ответственность ложатся на самого пользователя.

2022.1.15 Обновление

Добавлены функции обфусцированного клонирования пользователей, добавления пользователей и заданий по расписанию
Получение идентификатора и проверочного кода последней версии Sunflower
Интегрированы функции обнаружения активности по множеству протоколов из Ladon версии 9.1.1
Функции классифицированы, упрощено вторичное меню плагина

InfoCollect

Часто используемые команды классифицированы по сценариям

SharpGetInfo

Интегрирована последняя публичная версия Ladon 9.1.1

AntiVirusCheck

Локальный вывод информации об антивирусе в строке состояния Beacon

Принцип реализации: https://blog.csdn.net/weixin_42282189/article/details/121090055

IntrScan

Добавлено обнаружение активности по множеству протоколов Ladon (SMB, WMI, SNMP, HTTP, DNS, MAC, MSSQL)

В некоторой степени может обнаруживать активы внутренней сети за брандмауэром: Использование MAC для обхода брандмауэра и обнаружения активных хостов

Обнаружение активных IP

AuthPromote

BadPotato (BeichenDream)

Исправлен баг, из-за которого выполнялся только whoami; теперь можно запускать с системными привилегиями с помощью параметров

Badpotato (Ladon)

Добавлен Badpotato от Ladon

SweetPatato (Ladon)

Внимание: тесты показали, что два указанных метода повышения привилегий блокируются и определяются цифровым антивирусом

AuthMaintain

SharpSchTask

【Использовать с осторожностью】 Использует Windows API для инструментального создания скрытых заданий по расписанию, обходя блокировку антивирусного ПО, для持久 контроля.

Проект: https://github.com/0x727/SchTask_0x727

SharpShadowUser

【Использовать с осторожностью】 Обход, удаленная загрузка в память, клонирование скрытых теневых пользователей

Проект: https://github.com/An0nySec/ShadowUser

EasyPersistent

Исправлена проблема с путем PE-файла; теперь можно нормально удалять добавленных пользователей через API

PassCapture

Функции классифицированы по сценариям

SunFlower

Получение идентификатора и проверочного кода последней версии Sunflower

В последней версии Sunflower параметр base_encry_pwd перемещен из config.ini в реестр

RemoteLogin

Упрощено вторичное меню

BypassCXK

SharpAddUser

Обход AV: использование пространства имен DirectoryService для добавления пользователя в группы администраторов и удаленного рабочего стола

Проект: https://github.com/An0nySec/UserAdd

CloneX

Инструмент для безопасного обнаружения операций добавления и клонирования пользователей в командной строке

Проект: https://github.com/0x727/CloneX_0x727

2021.10.18 Обновление

Проведена реорганизация и оптимизация общих функциональных модулей
В модуль латерального перемещения добавлена реализация BOF для уязвимости ZeroLogon
Добавлены некоторые функции, работающие через Assembly (без файлов на диске)

InfoCollect

SharpGetInfo (Автоматический сбор информации о хосте)

Использование Ladon для однокнопочного сбора основной информации о хосте, сетевой информации, информации о пользователях, процессах, нахождении в домене и т.д.

SharpListRDP (Запрос записей RDP)

Сбор записей внутренних и внешних RDP-соединений для удобства locate рабочих станций эксплуатации и латерального перемещения

IntrScan

Cube (Модульное сканирование)

Добавлен Cube для замены старых брутфорс-методов; поддерживает сбор информации во внутренней сети и выполнение команд на MSSQL. Подробнее см. в описании запуска.

Allin (Гибкое вспомогательное сканирование)

Добавлен Allin для гибкого сканирования. Пример: удаленное получение IP сетевого адаптера:

SharpOXID-Find (Обнаружение OXID)

Если не требуется EXE-файл на диске, можно использовать Assembly для быстрого обнаружения OXID

IntrAgent

Stowaway (Проникновение через многоуровневую внутреннюю сеть)

Загрузите agent и запустите

После получения соединения на стороне admin строится туннель Socks5

Удаление agent

PassCapture

LsassDump (WinAPI)

Изменен способ запуска LsassDump; при удалении LsassDump также удаляется дамп C:\Windows\Temp\1.dmp

Mimidump (Удаленное чтение .dmp)

Добавлена функция совместного использования с LsassDump (WinAPI) — удаленное чтение дампа C:\Windows\Temp\1.tmp на целевой машине (.NET 4.5)

RemoteLogin

Добавлены методы включения, отключения и запроса информации об RDP через PowerShell

PS-скрипты взяты из модуля RDP плагина Black Devil из Reference

Запрос статуса RDP

Включение службы RDP

Получение порта RDP

Просмотр исторических учетных данных RDP

Получение исторических учетных данных RDP

LateMovement

IPC-соединение

Передача билетов

ZeroLogonBOF

Добавлена реализация BOF для уязвимости ZeroLogon

Ссылка: https://github.com/rsmudge/ZeroLogon-BOF

2021.09.05 Обновление

Адаптация некоторых функций для машин с архитектурой x86
Добавлены некоторые обфусцированные утилиты, использующие Windows API
Добавлен вывод подсказок по параметрам при выполнении соответствующих функций в модуле сканирования внутренней сети

IntrScan

Fscan

Добавлена загрузка соответствующего EXE-файла в зависимости от архитектуры целевой машины

Добавлен вывод подсказок по параметрам для удобного запуска отдельных модулей

Crack

Добавлен инструмент Crack для брутфорса внутренней сети

TailorScan

Добавлена загрузка соответствующего EXE-файла в зависимости от архитектуры целевой машины

PassCapture

LaZagne

Исправлена ошибка в версии V1.2, когда из-за сетевых проблем LaZagne не успевал завершить работу и процесс убивался с удалением файла. Теперь запуск вручную.

LsassDump

Добавлен LsassDump для создания дампа памяти через Windows API; поддерживает x86 и x64

Созданный файл 1.dmp сохраняется в C:\Windows\Temp\

Чтение локально:

LateMovement

Добавлены функции, связанные с RDP:

Включение службы RDP через Windows API

2021.08.12 Обновление

InfoCollect

Добавлен CheckVM для определения, является ли цель виртуальной машиной

20210808_2213

AVSearch

Поскольку предыдущий скрипт иногда давал сбои:

Обновлен новый способ обнаружения антивирусов

AuthPromote

Исправлены баги в предыдущем модуле повышения привилегий

AuthMaintain

EasyPersistent: https://github.com/yanghaoi/CobaltStrike_CNA

Добавлен новый CNA-скрипт для Cobalt Strike, предназначенный для поддержания привилегий в системах Windows

Использует рефлективные DLL-модули через API для визуального управления распространенными методами поддержания привилегий, такими как системные службы и запланированные задания. Очень удобен. (Слова автора)