Aggrokatz — это расширение-плагин агрессора для Cobalt Strike, которое позволяет pypykatz удаленно взаимодействовать с beacon-ами и дает возможность анализировать файлы дампа LSASS и файлы кустов реестра для извлечения учетных данных и других секретов, хранящихся без загрузки файла и без загрузки какого-либо подозрительного кода на beacon.
aggrokatz — это расширение плагина Aggressor для CobaltStrike, которое позволяет pypykatz взаимодействовать с биконами удалённо.
Текущая версия aggrokatz позволяет pypykatz анализировать дампы LSASS и файлы кустов реестра для извлечения учётных данных и других секретов без загрузки файла и без загрузки подозрительного кода на бикон (Cobalt Strike там уже есть).
В будущем этот проект планирует предоставить дополнительные возможности для скрытных операций, такие как поиск и расшифровка всех секретов DPAPI, кербероастинг и т.д.
Мы опубликовали короткий пост в блоге для этого релиза инструмента, в котором также есть несколько скриншотов.
Снятие дампов LSASS/реестра не является целью этого проекта, только анализ. Причины:
CredBandit, которая сбрасывает сырые байты на диск вместо base64. Отличный инструмент, зацените.В клиенте CS не используйте "reload" и не пытайтесь вручную выгрузить, а затем перезагрузить скрипт, если вы его изменили. Вы ОБЯЗАТЕЛЬНО должны выгрузить его, закрыть клиент, открыть его заново, а затем загрузить изменённый скрипт. Иначе у вас будут запущены несколько версий одновременно и возникнет множество ошибок и странного поведения!
Во время анализа файлов LSASS/реестра на удалённой стороне, пожалуйста, не взаимодействуйте с конкретным биконом, с которого вы запустили скрипт. Обычно это не вызывает проблем, но я не могу дать никаких гарантий.
pycobalt. В их репозитории на GitHub есть readme.pypykatz версии не ниже >=0.4.8aggressor.cna из pycobalt настроен и знает расположение вашего интерпретатора Pythonaggrokatz.cna, указав путь к pycobalt.cnaView > Script Console и Cobalt Strike > Script Manager. Через Script Manager загрузите скрипт aggkatz.cna.aggkatz.cna загружен успешно, при щелчке правой кнопкой мыши на биконе появится новый пункт меню pypykatz.Script Console.Script Console, так и в окне самого бикона.LSASS file: Расположение файла lsass.dmp на удалённом компьютере. Также можно использовать UNC-пути для доступа к общим файлам lsass.dmp по SMB.chunksize : Максимальный объём данных, считываемый за один разBOF file : BOF-файл (Beacon Object File), который позволяет читать по частям. Этот файл будет загружен и выполнен (в памяти) каждый раз при чтении нового фрагмента.(module) : Указывает, какие модули будут анализироваться. По умолчанию: allOutput : Задаёт формат(ы) выводаPopulate Credential tab : После успешного анализа все полученные учётные данные станут доступны на вкладке Credential в Cobalt Strike. Эта функция в бета-версииDelete remote file after parsing : После успешного анализа дамп LSASS будет удалён с целевой машиныSYSTEM file: Расположение файла SYSTEM.reg на удалённом компьютере. Также можно использовать UNC-пути для доступа к общим файлам по SMB.SAM file (optional): Расположение файла SAM.reg на удалённом компьютере. Также можно использовать UNC-пути для доступа к общим файлам по SMB.SECURITY file (optional): Расположение файла SECURITY.reg на удалённом компьютере. Также можно использовать UNC-пути для доступа к общим файлам по SMB.SOFTWARE file (optional): Расположение файла SOFTWARE.reg на удалённом компьютере. Также можно использовать UNC-пути для доступа к общим файлам по SMB.chunksize : Максимальный объём данных, считываемый за один разBOF file : BOF-файл (Beacon Object File), который позволяет читать по частям. Этот файл будет загружен и выполнен (в памяти) каждый раз при чтении нового фрагмента.Output : Задаёт формат(ы) выводаТекущий BOF для чтения файлов поддерживает чтение файлов размером до 4 ГБ. Это можно расширить с помощью некоторых модификаций, но пока такие большие файлы не наблюдались.
Обычно парсер pypykatz выполняет серию операций чтения файлов на диске, но с помощью aggrokatz эти операции чтения туннелируются к бикону с помощью специально созданного BOF (Beacon Object File), который позволяет читать содержимое удалённого файла по частям. Это позволяет pypykatz извлекать все секреты из удалённых файлов без чтения всего файла, захватывая только необходимые фрагменты, где находятся секреты.
Чтобы получить полную картину всего процесса, нужно выделить две части:
pypykatz интегрируется с CobaltStrikepypykatz выполняет извлечение учётных данных без чтения всего файлаCobaltStrike (агент) написан на Java, pypykatz — на Python. Это проблема. К счастью для нас, неизвестный автор создал pycobalt, который предоставляет удобный интерфейс между двумя мирами с полезными API, которые можно вызывать напрямую из Python. Несмотря на то, что pycobalt — замечательная инженерная работа, есть некоторые проблемы/недостатки, на которые нужно указать:
pycobalt:pycobalt будет поддерживаться в будущем.pycobalt.pycobalt и CobaltSrike. Это приводит к тому, что некоторые вызовы API возвращают байты, которые нельзя использовать, потому что часть байтов искажается кодировщиком. Анализируя код, мы приходим к выводу, что большинство проблем с кодировкой/декодировкой связаны с тем, что pycobalt использует STDOUT/STDIN для связи с процессом Java.bof_pack, который критически важен для этого проекта, пришлось реализовать как чистый скрипт aggressor и вызывать его из Python, используя только базовые структуры данных (строки и целые числа), а не байты.pycobalt, без поддержки многопоточности. По крайней мере, мы заметили, что многопоточность случайным образом ломается, но мы этого ожидали.