OneDrive UDC2

Пользовательский C2-канал Cobalt Strike, использующий OneDrive в качестве транспортного уровня.

Что вам нужно

• Арендатор Microsoft Entra ID с пользователем, у которого есть OneDrive для бизнеса.
• Регистрация приложения с разрешением приложения Files.ReadWrite.All.

Настройка

1. Зарегистрируйте приложение

В портале Azure перейдите в Регистрация приложений и создайте новое приложение:

• Тип учётной записи: Один арендатор.
• URI перенаправления: Оставьте пустым.

Запишите ID арендатора и ID клиента со страницы обзора.

2. Добавьте разрешение Graph

В разделе Разрешения API:

1. Добавьте Microsoft Graph, затем Разрешения приложения, затем Files.ReadWrite.All.
2. Нажмите Предоставить согласие администратора.

3. Создайте секрет клиента

В разделе Сертификаты и секреты создайте новый секрет и скопируйте его значение.

4. Создайте папки OneDrive

В OneDrive пользователя создайте две папки: одну для входящих и одну для исходящих (например, c2inbox и c2outbox).

5. Получите ID диска и папок

Откройте Graph Explorer, войдите как этот пользователь и выполните:

GET https://graph.microsoft.com/v1.0/me/drive/root/children

Возьмите id каждой папки и driveId из любой записи в ответе JSON.

Сборка

cp server/config.json.example server/config.json

Заполните server/config.json:

Поле	Значение
tenant_id	ID арендатора Microsoft Entra ID
client_id	ID клиента приложения
client_secret	Значение секрета клиента
drive_id	ID диска OneDrive
inbox_folder_id	ID папки входящих
outbox_folder_id	ID папки исходящих

Затем соберите клиент:

make

Запуск

Запустите ретранслятор (используйте screen или tmux, чтобы он продолжал работать при отключении терминала):

python3 server/relay.py --config server/config.json --ts-addr <teamserver-ip> --ts-port <udc2-port>

В Cobalt Strike создайте слушатель UDC2 на том же порту и загрузите client/bof.o.

Параметры ретранслятора

Флаг	Описание
--config	Путь к config.json (обязательно)
--ts-addr	IP Teamserver
--ts-port	Порт слушателя UDC2
--poll	Интервал опроса в секундах (по умолчанию 2.0)
--state	Путь к файлу состояния (по умолчанию: <config>.state.json)
--debug	Включить отладочное логирование
--clean	Удалить файл состояния и каталог spool, затем выйти

Файл состояния, spool и блокировки

Ретранслятор создаёт несколько файлов рядом с вашим конфигом, чтобы отслеживать состояние между перезапусками:

• Файл состояния (config.json.state.json) — отслеживает, какие файлы входящих были обработаны, ожидающие загрузки и информацию о сессии beacon. Задайте пользовательский путь с помощью --state.
• Каталог spool (config.json.state.json.spool/) — хранит данные ответов, которые ещё не были загружены в OneDrive. Если ретранслятор аварийно завершится во время загрузки, spool сохранит данные, чтобы повторить попытку при следующем запуске.
• Файл блокировки (config.json.state.json.lock) — предотвращает запуск двух экземпляров ретранслятора с одним и тем же состоянием. Если вы видите Another relay holds the lock, а других ретрансляторов не запущено, блокировка устарела после сбоя.

Сброс состояния ретранслятора

Если локальное состояние ретранслятора повреждено или устаревшая блокировка мешает запуску, используйте --clean, чтобы очистить файл состояния и каталог spool, и ретранслятор запустится с чистого листа:

python3 server/relay.py --config server/config.json --clean

Файл блокировки сохраняется. Ретранслятор не будет очищать, пока запущен другой экземпляр. При следующем обычном запуске он повторно инициализируется и пропускает любые файлы входящих старше 30 минут.

Вы также можете сбросить вручную, удалив файл состояния и каталог spool самостоятельно. Если файл блокировки устарел (ретранслятор не запущен), удалите и его.

Демо

Ссылки

• Документация Cobalt Strike UDC2
• Cobalt Strike ICMP UDC2
• WKL Slack UDC2