LSTAR - Aggressor, переведённый на английский! С помощью Google Translate и Deepl

В целях упрощения контекстного меню CS и облегчения самостоятельной интеграции используются многочисленные плагины пост-эксплуатации

Проведён рефакторинг и расширены функции: сбор учётных данных хоста, многоуровневое проникновение во внутреннюю сеть, скрытые запланированные задачи, обход антивируса для Mimikatz, клонирование и добавление пользователей и другие функции

Возможности:

За счёт совместной работы с TCP, SMB, Proxy и другими каналами CobaltStrike обеспечивается проникновение в сложные сетевые среды
Предоставляет несколько методов выполнения с обходом антивируса для функций, связанных с RDP, AddUser, LsassDump и других, для работы в нестандартных средах
Включает множество функций обхода антивируса, таких как скрытые пользователи, запускаемые через WinAPI или Assembly в режиме загрузки в память, скрытые запланированные задачи и т. д.

В числе прочего включает следующие функциональные модули:

Остальные изображения ниже без изменений!

Перед запуском каждого модуля добавляется зелёная разделительная линия для упрощения позиционирования и отображения информации, а также повышения эффективности совместной работы

Плагин уведомлений WeChat для хоста CobaltStrike:

Если вы хотите использовать бесплатный способ, поддерживающий отправку шаблонных сообщений WeChat, переходите по ссылке: https://github.com/lintstar/CS-PushPlus

Если есть корпоративный канал push-уведомлений WeChat с подпиской на ServerChan, можно перейти по ссылке: https://github.com/lintstar/CS-ServerChan

Отказ от ответственности

Данный проект предназначен только для исследований в области безопасности и легального построения корпоративной безопасности. Все последствия и ответственность несёт пользователь

Обновление 2022.1.15

Добавлены функции клонирования пользователя, добавления пользователя и запланированных задач с обходом антивируса
Получение актуальных идентификационного кода и кода проверки Sunflower
Интегрированы функции обнаружения живых хостов по множеству протоколов из Ladon 9.1.1 и другие функции
Функции категоризированы для упрощения вложенного меню плагина

InfoCollect

Часто используемые команды сгруппированы по сценариям

SharpGetInfo

Интегрирована последняя публичная версия Ladon 9.1.1

AntiVirusCheck

Информация об антивирусном ПО локально выводится в строку состояния Beacon

Принцип реализации: https://blog.csdn.net/weixin_42282189/article/details/121090055

IntrScan

Добавлено обнаружение активности хостов по нескольким протоколам Ladon (SMB, WMI, SNMP, HTTP, DNS, MAC, MSSQL)

Активы внутренней сети за межсетевым экраном могут быть обнаружены в определённой степени: Использование MAC для обхода межсетевого экрана и обнаружения живых хостов

Обнаружение активных IP-адресов

AuthPromote

BadPotato (BeichenDream)

Исправлена ошибка, из-за которой можно было выполнять только whoami; теперь можно запускать сессию с правами System с помощью параметров

Badpotato (Ladon)

Добавлен Badpotato от Ladon

Sweet Potato (Ladon)

Примечание: тестирование показало, что две вышеуказанные операции повышения привилегий перехватываются и блокируются антивирусом

##AuthMaintain

SharpSchTask

[Использовать с осторожностью] Использует Windows API для создания скрытых запланированных задач и обходит блокировки защитного ПО для обеспечения постоянного контроля.

Адрес проекта: https://github.com/0x727/SchTask_0x727

SharpShadowUser

【Использовать с осторожностью】Клонирование скрытых теневых пользователей в обход антивируса с помощью удалённой загрузки в память

Адрес проекта: https://github.com/An0nySec/ShadowUser

EasyPersistent

Исправлена проблема с путём к PE-файлу; добавленного пользователя можно удалить с помощью API

PassCapture

Функции сгруппированы по сценариям

SunFlower

Получение актуальных идентификационного кода и кода проверки Sunflower

В последней версии Sunflower параметр base_encry_pwd перемещён из config.ini в реестр

RemoteLogin

Упрощено вложенное меню

BypassCXK

SharpAddUser

Обходит антивирус, используя пространство имён DirectoryService для добавления пользователей в группы Administrators и Remote Desktop

Адрес проекта: https://github.com/An0nySec/UserAdd

CloneX

Инструмент проверки безопасности для добавления пользователей и клонирования пользователей из командной строки

Адрес проекта: https://github.com/0x727/CloneX_0x727

Обновление 2021.10.18

Проведена повторная интеграция и оптимизация общих функциональных модулей
В модуль латерального перемещения добавлена реализация BOF для уязвимости ZeroLogon
Добавлены некоторые методы Assembly для запуска функций без записи файлов на диск

InfoCollect

SharpGetInfo (сбор информации о хосте в один клик)

Использование Ladon для сбора в один клик: основная информация о хосте, сетевая информация, информация о пользователях, информация о процессах, членство в домене и т. д.

SharpListRDP (запрос записей RDP)

Собирает внутренние и внешние записи подключений RDP, что удобно для поиска административной машины и латерального перемещения

IntrScan

Cube (модульное обнаружение)

Cube добавлен для замены брутфорса старой версии. Он также поддерживает сбор информации о внутренней сети и выполнение команд MSSQL. Подробное использование — см. инструкцию по эксплуатации

Allin (вспомогательное гибкое сканирование)

Добавлен Allin для ассистирования гибкому сканированию; в качестве примера — удалённое получение IP-адреса сетевой карты:

SharpOXID-Find (обнаружение OXID)

Либо, если не нужно сохранять EXE на диск, можно использовать метод Assembly для быстрого обнаружения OXID

IntrAgent

Stowaway (сквозь многоуровневую внутреннюю сеть)

Запускается после загрузки агента

Административная сторона может построить Socks5-туннель после получения подключения

Удаление агента

PassCapture

LsassDump（WinAPI）

Изменён режим работы LsassDump; дамп C:\Windows\Temp\1.dmp удаляется при удалении LsassDump

Mimidump (удалённое чтение .dmp)

Добавлена функция LsassDump (WinAPI) для удалённого чтения C:\Windows\Temp\1.tmp (.net 4.5), созданного целевой машиной

RemoteLogin

Добавлен метод использования Powershell для включения, отключения и запроса информации, связанной с RDP

PS-скрипт взят из модуля RDP плагина Black Devil в разделе «Ссылки»

Запрос статуса RDP

Запуск службы RDP

Получение порта RDP

Просмотр исторических учётных данных входа RDP

Получение исторических учётных данных входа RDP

LateMovement

IPC-подключение

Передача билетов

ZeroLogonBOF

Добавлена реализация BOF для уязвимости ZeroLogon

Ссылка: https://github.com/rsmudge/ZeroLogon-BOF

Обновление 2021.09.05

Некоторые функции адаптированы для машин с архитектурой x86
Добавлены некоторые приёмы обхода антивируса с использованием Windows API
В модуль сканирования внутренней сети добавлен вывод подсказок по параметрам при запуске соответствующей функции

IntrScan

Fscan

Добавлена загрузка соответствующего EXE-файла в зависимости от архитектуры целевой машины

Добавлен вывод подсказок по параметрам для адресного запуска отдельного модуля

Crack

Добавлен инструмент Crack для брутфорса внутренней сети

TailorScan

Добавлена загрузка соответствующего EXE-файла в зависимости от архитектуры целевой машины

PassCapture

LaZagne

Исправлена проблема LaZagne, из-за которой в версии V1.2 LaZagne не завершал работу из-за сетевых проблем

Исправлена ошибка с завершением процесса и удалением файла с диска; теперь выполняется вручную

LsassDump

Добавлен LsassDump для дампа памяти через Windows API; поддерживаются машины x86 и x64

Созданный после успешного дампа файл 1.dmp сохраняется в каталоге C:\Windows\Temp\

Его можно прочитать напрямую локально:

LateMovement

Добавлены функции, связанные с RDP:

Запуск службы RDP с помощью Windows API

Обновление 2021.08.12

InfoCollect

Добавлен CheckVM для определения, является ли цель виртуальной машиной

20210808_2213

AVSearch

Поскольку предыдущий скрипт имеет определённую вероятность сбоя:

Обновлён новый способ обнаружения антивирусного ПО

AuthPromote

Исправлен баг предыдущего модуля повышения привилегий

##AuthMaintain

EasyPersistent: https://github.com/yanghaoi/CobaltStrike_CNA

Добавлен CNA-скрипт Cobalt Strike для закрепления привилегий в Windows

Использование reflection DLL-модуля для визуализации распространённых методов закрепления привилегий, таких как системные службы и запланированные задачи, через API — очень удобно в использовании. (Слова автора)