BokuLoader : Cobalt Strike 反射加载器

一个概念验证的用户自定义反射加载器 (UDRL)，旨在重新创建、整合并增强 Cobalt Strike 的规避功能！

贡献者：

贡献者	Twitter	显著贡献
Bobby Cooke	@0xBoku	项目原作者和维护者
Santiago Pecin	@s4ntiago_p	反射加载器重大改进
Chris Spehn	@ConsciousHacker	Aggressor 脚本
Joshua Magri	@passthehashbrwn	IAT 钩子
Dylan Tran	@d_tranman	反射调用栈欺骗
James Yeung	@5cript1diot	间接系统调用

UDRL 使用注意事项

内置的 Cobalt Strike 反射加载器功能强大，支持 Cobalt Strike 提供的所有 Malleable PE 规避功能。使用自定义 UDRL 的主要缺点是，Malleable PE 规避功能可能无法开箱即用。

公开的 BokuLoader 项目旨在帮助红队创建自己的内部 Cobalt Strike UDRL。该项目旨在支持所有值得使用的 CS Malleable PE 规避功能。某些规避功能通过 CS 集成实现，有些则完全重新创建，还有一些不受支持。

在使用此项目的任何形式之前，您应充分测试规避功能是否按预期工作。在 C 代码和 Aggressor 脚本之间，使用不同版本的操作系统、编译器和 Java 进行编译可能会产生不同结果。

规避功能

BokuLoader 特有的规避功能

• 通过合成帧实现反射调用栈欺骗。
• 自定义 ASM/C 反射加载器代码
• 通过 HellsGate 和 HalosGate 技术实现的间接 NT 系统调用
  • 所有分配选项的内存保护更改均通过间接系统调用 NtProtectVirtualMemory 完成
• 通过自定义 UDRL Aggressor 脚本实现 obfuscate "true"
• NOHEADERCOPY
  • 加载器不会将原始 beacon DLL 的头复制到虚拟 beacon DLL。前 0x1000 字节将全为零。
• 使用 XGetProcAddress 解析符号
  • 不使用 Kernel32.GetProcAddress
• 使用 xLoadLibrary 解析 DLL 基址和 DLL 加载
  • 对于已加载的 DLL，从 TEB->PEB->PEB_LDR_DATA->InMemoryOrderModuleList 获取 DLL 基址
  • 不使用 Kernel32.LoadLibraryA
• 凯撒密码用于字符串混淆
• 100k UDRL 大小
• 导入 DLL 名称和导入条目名称字符串在虚拟 beacon DLL 中被清除。

支持的 Malleable PE 规避功能

命令	选项	支持情况
allocator	HeapAlloc, MapViewOfFile, VirtualAlloc	通过 BokuLoader 实现全部支持
module_x64	字符串 (DLL 名称)	通过 BokuLoader 实现支持。与 CS 实现相同的 DLL 覆盖要求 适用。
obfuscate	true/false	HTTP/S beacon 通过 BokuLoader 实现支持。SMB/TCP 目前不支持 obfuscate true。详情见 issue。如果您能修复，欢迎帮助 :)
entry_point	十进制 RVA	通过 BokuLoader 实现支持
cleanup	true	通过 CS 集成支持
userwx	true/false	通过 BokuLoader 实现支持
sleep_mask	(true/false) 或 (Sleepmask Kit+true)	支持。使用默认 "sleepmask true"（无 sleepmask kit）时设置 "userwx true"。使用支持 RX beacon.text 内存（src47/Ekko）的 sleepmask kit 时设置 "sleepmask true" && "userwx false"。
magic_mz_x64	4 字符字符串	通过 CS 集成支持
magic_pe	2 字符字符串	通过 CS 集成支持
transform-x64 prepend	转义十六进制字符串	BokuLoader.cna Aggressor 脚本修改
transform-x64 strrep	字符串 字符串	BokuLoader.cna Aggressor 脚本修改
stomppe	true/false	不支持。BokuLoader 不复制 beacon DLL 头部。虚拟 beacon DLL 的前 0x1000 字节为 0x00
checksum	数字	实验性。BokuLoader.cna Aggressor 脚本修改
compile_time	日期-时间字符串	实验性。BokuLoader.cna Aggressor 脚本修改
image_size_x64	十进制值	不支持
name	字符串	实验性。BokuLoader.cna Aggressor 脚本修改
rich_header	转义十六进制字符串	实验性。BokuLoader.cna Aggressor 脚本修改
stringw	字符串	不支持
string	字符串	不支持

测试

• (2023/2/22) 使用 threatexpress/malleable-c2/master/jquery-c2.4.7.profile 测试了所有 4 种分配器方法。

项目起源

• 基于 Stephen Fewer 出色的反射加载器项目：
  • https://github.com/stephenfewer/ReflectiveDLLInjection
• 最初是在学习 Renz0h 的 Sektor7 恶意软件开发中级 (MDI) 课程 中的反射 DLL 视频时创建的。

使用方法

1. 使用 make 编译 BokuLoader 对象文件。
2. 启动你的 Cobalt Strike 团队服务器。
3. 在 Cobalt Strike 中，导入 BokuLoader.cna Aggressor 脚本。
4. 生成 x64 beacon（Attacks -> Packages -> Windows Executable (S)）。
5. 使用 Script Console 确保 BokuLoader 已成功集成到 beacon 构建中。

• 不支持 x86 选项。x86 bin 是原始的反射加载器对象文件。
• 生成 RAW beacon 开箱即用。如果使用 Artifact Kit 作为 beacon 加载器，stagesize 变量必须大于默认值。
  • 有关更多信息，请参阅 Cobalt Strike 用户自定义反射加载器文档。

检测指南

硬编码字符串

• BokuLoader 将一些常见检测的字符串更改为新的硬编码值。这些字符串可用于签名 BokuLoader：

原始 Cobalt Strike 字符串	BokuLoader Cobalt Strike 字符串
ReflectiveLoader	BokuLoader
Microsoft Base Cryptographic Provider v1.0	12367321236742382543232341241261363163151d
(admin)	(tomin)
beacon	bacons

内存分配器

DLL 模块覆盖

• 调用 Kernel32.LoadLibraryExA 从磁盘映射 DLL。
• Kernel32.LoadLibraryExA 的第三个参数为 DONT_RESOLVE_DLL_REFERENCES (0x00000001)
  • 系统不会调用 DllMain
• 如 MDSec 所述，不会解析 LDR PEB 条目中的地址。
• 可通过 pe-sieve 工具扫描进程内存检测。

堆分配

• 如果未使用 sleepmask kit，堆中将存在可执行 RX 或 RWX 内存。

映射分配器

• 调用 Kernel32.CreateFileMappingA 和 Kernel32.MapViewOfFile 为虚拟 beacon DLL 分配内存。

Sleepmask 检测

• 如果使用 sleepmask kit，如 MDSec 所述，存在针对此独立内存分配的检测方法。

间接系统调用

• BokuLoader 调用以下 NT 系统调用来设置加载的可执行 beacon 内存：NtAllocateVirtualMemory、NtProtectVirtualMemory
• 这些调用是从 BokuLoader 可执行内存中间接进行的。
• 在 ntdll.dll 中设置用户态钩子不会检测到这些系统调用。
• 可能可以通过内核驱动程序注册内核回调来监控上述系统调用并检测它们的使用。
• BokuLoader 本身在其可执行内存中包含 mov eax, r11d; mov r11, r10; mov r10, rcx; jmp r11 汇编指令。

虚拟 Beacon DLL 头部

• 虚拟 beacon DLL 的前 0x1000 字节为零。

源代码可用

• BokuLoader 源代码在仓库中提供，可用于创建内存签名。
• 如果您有其他检测指南，欢迎通过提交拉取请求贡献。