cobaltstrike-sleepmask-yara

只是一个 git 仓库，用于存放我在 https://codex-7.gitbook.io/codexs-terminal-window/blue-team/detecting-cobalt-strike/sleep-mask-kit-iocs 找到的 sleepmask 检测规则。

tl;dr

简而言之，这些字节属于 sleep mask kit 未混淆的 .text 段本身，并且在睡眠时不会被混淆。使用内置的 sleepmasking 技术时，不可能对该区域进行加密，因为它必须保持可执行状态才能唤醒 beacon。较新的技术，例如使用 Timers 和 NtContinue APC，则不存在此问题。根据这篇 MDSec 博客文章：https://www.mdsec.co.uk/2022/07/part-2-how-i-met-your-beacon-cobalt-strike/，该签名仅在禁用 "userwx" 设置时才有效。

在 CobaltStrike 4.6.1 上开发和测试。