Crystal Kit

Этот репозиторий — технический и социальный эксперимент по проверке того, насколько замена примитивов обхода защиты Cobalt Strike (Sleepmask/BeaconGate) на PICO из Crystal Palace осуществима (или даже желательна) для продвинутых сценариев обхода защиты.

Использование

1. Отключите sleepmask и обфускацию стадий в Malleable C2.

stage {
    set sleep_mask "false";
    set cleanup "true";
    transform-obfuscate { }
}

post-ex {
    set cleanup "true";
    set smartinject "true";
}

2. Скопируйте crystalpalace.jar в каталог вашего клиента Cobalt Strike.
3. Загрузите crystalkit.cna.

Примечания

• Протестировано на Cobalt Strike 4.12.
• Может работать с любыми возможностями post-ex DLL.