BOF_RunPE

BOF RunPE — это Beacon Object File для Cobalt Strike, который выполняет PE-файлы полностью в памяти внутри процесса beacon. В отличие от традиционного fork&run, не создается дочерний процесс, не создается консоль и не используется канал (pipe) — весь вывод захватывается через перехват IAT и перенаправляется в консоль beacon.

Архитектура: только x64

Обзор

┌──────────────────────────────────────────────────────────────┐
│                   Cobalt Strike Beacon                       │
│                    (Current Process)                         │
└────────────────────────┬─────────────────────────────────────┘
                         │
                         │  beacon_inline_execute()
                         │
                         ▼
┌──────────────────────────────────────────────────────────────┐
│                    BOF RunPE                                 │
│  ┌────────────────────────────────────────────────────────┐  │
│  │  VxTable + Draugr Initialization                       │  │
│  │  (Syscall Resolution + Stack Spoofing)                 │  │
│  └──────────────────────┬─────────────────────────────────┘  │
│                         │                                    │
│  ┌──────────────────────▼─────────────────────────────────┐  │
│  │  PE Mapping                                            │  │
│  │  - Section Copy    - IAT Patching (with hooks)         │  │
│  │  - Relocations     - Memory Protection                 │  │
│  └──────────────────────┬─────────────────────────────────┘  │
│                         │                                    │
│  ┌──────────────────────▼─────────────────────────────────┐  │
│  │  Thread Execution                                      │  │
│  │  - Spoofed Start Address                               │  │
│  │  - RIP Hijacking to Entry Point                        │  │
│  │  - Output Redirection via Hooks                        │  │
│  └────────────────────────────────────────────────────────┘  │
└──────────────────────────────────────────────────────────────┘

Ключевые возможности

• Нет создания процесса: PE выполняется внутри процесса beacon
• Нет консоли/канала: Вывод захватывается через перехват printf/WriteConsole
• Несколько методов выделения памяти: Heap, VirtualAlloc, Module Stomping
• Прокси-загрузка: Timer Queue, RegisterWait или прямые вызовы
• Снятие перехвата ntdll: Опционально свежая копия с диска
• RWX: Опционально выделять память как RWX
• Спуфинг стартового адреса потока: Легитимный стартовый адрес с перехватом RIP

Параметры конфигурации

Поведение BOF можно настроить в Additionals postex -> RunPe Config

Методы прокси

Метод	Описание
None	Прямые вызовы API
Draugr	Вызовы API со спуфингом стека
Regwait	Обратный вызов RegisterWaitForSingleObject
Timer	Обратный вызов Timer Queue

Методы выделения памяти

Метод	Описание
Heap	Приватная куча через RtlCreateHeap с Draugr
VirtualAlloc	NtAllocateVirtualMemory с Draugr
Module stomping	Перезапись секции .text легитимной DLL

Общие опции

Опция	Описание
AllocRWX	Выделять как RWX (вместо перехода RW→RX)
UnhookNtdll	Заменить .text ntdll.dll свежей копией с диска
Timeout	Таймаут выполнения в миллисекундах (0 = бесконечно)
StompModule	Путь к DLL для module stomping (например, chakra.dll)

Спуфинг потока

Опция	Описание
ModuleName	Легитимный модуль для стартового адреса (например, Kernel32.dll)
ProcedureName	Имя функции внутри модуля (например, BaseThreadInitThunk)
Offset	Смещение от начала функции

Захват вывода

Весь вывод PE перенаправляется в консоль beacon через перехваты IAT. Не создается ни окно консоли, ни именованный канал.

Перехваченная функция	Цель
GetCommandLineA/W	Возвращает подставные аргументы
__getmainargs / __wgetmainargs	Инициализация аргументов CRT
printf / wprintf	Перенаправление в BeaconPrintf
WriteConsoleA/W	Перенаправление в BeaconPrintf
__stdio_common_vfprintf	Функции печати UCRT
ExitProcess / exit	Преобразуется в ExitThread

Техники обхода

Техника	Обход чего
Косвенные системные вызовы	Перехваты API на уровне пользователя (EDR/AV)
Спуфинг стека Draugr	Анализ стека вызовов
Спуфинг стартового адреса потока	Анализ стартового адреса потока
Module Stomping	Обнаружение незакрепленной памяти
Выделение приватной кучи	Мониторинг VirtualAlloc
Снятие перехвата ntdll	Перезапись ntdll в памяти копией с диска
Перехват IAT (без каналов)	Мониторинг именованных каналов

Векторы обнаружения

Телеметрия ядра (ETW-TI)

NtGetContextThread / NtSetContextThread:

• Манипуляция контекстом потока на приостановленных потоках с последующим возобновлением

Операции с памятью:

• NtAllocateMemory — выделение, может быть в RWX (зависит от конфигурации)
• NtProtectVirtualMemory — переходы (RW → RX)
• Исполняемая память в областях кучи подозрительна (зависит от конфигурации)
• Module stomping обнаруживается через несоответствие хэша секции (зависит от конфигурации)

Поведенческие индикаторы

• Создан приостановленный поток, получен контекст, затем изменено значение RIP
• Память кучи помечена как исполняемая (если распределитель памяти — куча)
• DLL загружена с флагом DONT_RESOLVE_DLL_REFERENCES (если распределитель памяти — module stomping)
• Секция .text ntdll изменена (если включено снятие перехвата)

Использование

Загрузка скрипта

Cobalt Strike → Script Manager → Load → BOF_RunPe.cna

Команды Aggressor

beacon> runpe /path/to/binary.exe --arg1 value1

beacon> help runpe

Компиляция

Требуется GCC 13 (mingw-w64). Используйте предоставленный Dockerfile:

sudo docker build -t ubuntu-gcc-13 .
sudo docker run --rm -it -v "$PWD":/work -w /work ubuntu-gcc-13:latest make

Результат: Bin/runpe.o

Ограничения

Ограничение	Описание
CET	Технология Control-flow Enforcement может блокировать синтетические кадры стека
Только x64	Нет поддержки x86/WoW64
Видимость на уровне ядра	Создание потока видимо для callback-функций ядра
.NET	Управляемые исполняемые файлы не поддерживаются

Благодарности / Использованные ресурсы для разработки

Репозитории/статьи в блогах

• https://github.com/susMdT/LoudSunRun
• https://github.com/Octoberfest7/Inline-Execute-PE
• https://www.coresecurity.com/core-labs/articles/running-pes-inline-without-console
• https://0xdarkvortex.dev/proxying-dll-loads-for-hiding-etwti-stack-tracing/

Книги

• Windows Native API Programming — Pavel Yosifovich
• Windows Internals, Part 1 — Pavel Yosifovich
• Windows Internals, Part 2 — Andrea Allievi