BokuLoader : Reflective Loader для Cobalt Strike

Proof-of-concept User-Defined Reflective Loader (UDRL), который призван воссоздать, интегрировать и усовершенствовать функции обхода обнаружения Cobalt Strike!

Авторы:

Участник	Twitter	Значимый вклад
Bobby Cooke	@0xBoku	Автор и основной сопровождающий проекта
Santiago Pecin	@s4ntiago_p	Значительные улучшения Reflective Loader
Chris Spehn	@ConsciousHacker	Скриптинг Aggressor
Joshua Magri	@passthehashbrwn	Перехват IAT
Dylan Tran	@d_tranman	Спуфинг стека вызовов
James Yeung	@5cript1diot	Косвенные системные вызовы

Рекомендации по использованию UDRL

Встроенный в Cobalt Strike Reflective Loader отличается надёжностью и поддерживает все функции обхода Malleable PE, которые предлагает Cobalt Strike. Главный недостаток использования собственного UDRL в том, что функции обхода Malleable PE могут поддерживаться из коробки, а могут и не поддерживаться.

Цель публичного проекта BokuLoader — помочь red team-ам создавать собственные внутренние UDRL для Cobalt Strike. Проект стремится поддерживать все значимые функции обхода Malleable PE в CS. Некоторые функции обхода используют интеграцию с CS, другие были полностью воссозданы, а некоторые не поддерживаются.

Перед использованием этого проекта в любом виде вы должны должным образом протестировать, что функции обхода работают как задумано. Из-за связки C-кода и Aggressor-скрипта компиляция с разными версиями операционных систем, компиляторов и Java может давать разные результаты.

Функции обхода

Специфичные функции обхода BokuLoader

• Спуфинг стека вызовов с помощью синтетических фреймов.
• Собственный код Reflective Loader на ASM/C
• Косвенные системные вызовы NT через техники HellsGate и HalosGate
  • Все изменения защиты памяти для всех вариантов выделения памяти выполняются через косвенный системный вызов NtProtectVirtualMemory
• obfuscate "true" с собственной реализацией UDRL в Aggressor-скрипте.
• NOHEADERCOPY
  • Загрузчик не копирует заголовки из raw beacon DLL в виртуальную beacon DLL. Первые 0x1000 байт будут обнулены.
• XGetProcAddress для разрешения символов
  • Не использует Kernel32.GetProcAddress
• xLoadLibrary для определения базового адреса DLL и загрузки DLL
  • Для загруженных DLL получает базовый адрес DLL из TEB->PEB->PEB_LDR_DATA->InMemoryOrderModuleList
  • Не использует Kernel32.LoadLibraryA
• Шифр Цезаря для обфускации строк
• Размер UDRL — 100 КБ
• Имена импортируемых DLL и строки имён импортируемых функций затираются в виртуальной beacon DLL.

Поддерживаемые функции обхода Malleable PE

Команда	Параметр(ы)	Поддержка
allocator	HeapAlloc, MapViewOfFile, VirtualAlloc	Все поддерживаются через реализацию BokuLoader
module_x64	строка (имя DLL)	Поддерживается через реализацию BokuLoader. Действуют те же требования к затиранию DLL, что и в реализации CS
obfuscate	true/false	HTTP/S beacon'ы поддерживаются через реализацию BokuLoader. SMB/TCP для obfuscate true в настоящее время не поддерживается. Подробности в issue. Буду рад помощи, если сможете исправить :)
entry_point	RVA в виде десятичного числа	Поддерживается через реализацию BokuLoader
cleanup	true	Поддерживается через интеграцию с CS
userwx	true/false	Поддерживается через реализацию BokuLoader
sleep_mask	(true/false) или (Sleepmask Kit+true)	Поддерживается. При использовании значения по умолчанию "sleepmask true" (без sleepmask kit) устанавливайте "userwx true". При использовании sleepmask kit с поддержкой RX-памяти beacon.text (src47/Ekko) устанавливайте "sleepmask true" && "userwx false".
magic_mz_x64	строка из 4 символов	Поддерживается через интеграцию с CS
magic_pe	строка из 2 символов	Поддерживается через интеграцию с CS
transform-x64 prepend	экранированная hex-строка	Модификация Aggressor-скрипта BokuLoader.cna
transform-x64 strrep	строка строка	Модификация Aggressor-скрипта BokuLoader.cna
stomppe	true/false	Не поддерживается. BokuLoader не копирует заголовки beacon DLL. Первые 0x1000 байт виртуальной beacon DLL — 0x00
checksum	число	Экспериментально. Модификация Aggressor-скрипта BokuLoader.cna
compile_time	строка даты-времени	Экспериментально. Модификация Aggressor-скрипта BokuLoader.cna
image_size_x64	десятичное значение	Не поддерживается
name	строка	Экспериментально. Модификация Aggressor-скрипта BokuLoader.cna
rich_header	экранированная hex-строка	Экспериментально. Модификация Aggressor-скрипта BokuLoader.cna
stringw	строка	Не поддерживается
string	строка	Не поддерживается

Тестирование

• (22.02.23) Все 4 метода выделения памяти протестированы с threatexpress/malleable-c2/master/jquery-c2.4.7.profile

Истоки проекта

• Основан на потрясающем проекте Reflective Loader от Стивена Фьюрера (Stephen Fewer):
  • https://github.com/stephenfewer/ReflectiveDLLInjection
• Изначально создан при прохождении видео Renz0h по Reflective DLL из курса Sektor7 Malware Developer Intermediate (MDI)

Использование

1. Скомпилируйте объектный файл BokuLoader с помощью make
2. Запустите ваш Team Server Cobalt Strike
3. В Cobalt Strike импортируйте Aggressor-скрипт BokuLoader.cna
4. Сгенерируйте x64 beacon (Attacks -> Packages -> Windows Executable (S))
5. С помощью Script Console убедитесь, что BokuLoader был внедрён в сборку beacon

• Вариант x86 не поддерживается. Бинарник x86 — это исходный объектный файл Reflective Loader.
• Генерация RAW beacon'ов работает из коробки. При использовании Artifact Kit для загрузчика beacon переменная stagesize должна быть больше значения по умолчанию.
  • Дополнительную информацию см. в документации Cobalt Strike по User-Defined Reflective Loader

Рекомендации по обнаружению

Захардкоженные строки

• BokuLoader заменяет некоторые часто обнаруживаемые строки новыми захардкоженными значениями. Эти строки можно использовать для создания сигнатур BokuLoader:

Исходная строка Cobalt Strike	Строка BokuLoader Cobalt Strike
ReflectiveLoader	BokuLoader
Microsoft Base Cryptographic Provider v1.0	12367321236742382543232341241261363163151d
(admin)	(tomin)
beacon	bacons

Аллокаторы памяти

Затирание модуля DLL (DLL Module Stomping)

• Для отображения DLL с диска вызывается Kernel32.LoadLibraryExA
• Третий аргумент Kernel32.LoadLibraryExA — DONT_RESOLVE_DLL_REFERENCES (0x00000001)
  • система не вызывает DllMain
• Адреса в записи LDR PEB не разрешаются, как подробно описано MDSec здесь
• Может быть обнаружен сканированием памяти процесса инструментом pe-sieve

Выделение памяти в куче

• Если sleepmask kit не используется, в куче будет присутствовать исполняемая память RX или RWX.