Cohab_Processes

Этот скрипт Aggressor предназначен для помощи внутренним Red Teams в выявлении подозрительных или посторонних процессов («Совместное проживание») в их средах.

Red Teams могут составить список «известных» процессов (самостоятельно или в сотрудничестве с синими) и передать его скрипту агрессора. Этот список процессов может включать те, которые наблюдались «как минимум x раз в нашей сети», чтобы установить базовый уровень. После загрузки скрипта в CobaltStrike вывод beacon будет изменен/раскрашен для следующих команд:

1. shell tasklist
2. ps
3. BOF tasklist от TrustedSec (Вам не обязательно использовать этот BOF, но это настоятельно рекомендуется)

Любые процессы, возвращенные в качестве вывода указанных выше команд, которых НЕТ в списке «известных» процессов, будут выделены КРАСНЫМ для дальнейшего расследования/проверки.

shell tasklist:

ps:

BOF tasklist от TrustedSec:

Настройка

Список известных процессов должен находиться в текстовом файле, по одному процессу в строке.
Отредактируйте строку 3 в Cohab_Processes.cna и укажите свой список «известных» процессов.
Загрузите скрипт .cna в CobaltStrike и пользуйтесь.

Я включил файл 'knownprocesses.txt' в качестве примера, чтобы пользователи могли увидеть поведение скрипта до того, как приложат усилия для составления списка «известных» процессов в своей среде.