Astral_Projection

Astral Projection - UDRL

Astral Projection 是一个 Cobalt Strike UDRL（用户定义反射加载器），它执行高级模块隐藏。

该 UDRL 使用 LoadLibraryExW 加载一个模块，然后通过设置 VEH 来拦截关键调用，从而操纵其内部结构，以便窃取牺牲 DLL 的节句柄并提升其访问权限，供后续在睡眠掩码中使用。在睡眠期间，它会取消映射模块，同时保持 PEB 条目不变，然后重新映射一个全新的模块，以避免睡眠期间出现任何 IOC。

该项目使用 Crystal Palace 构建。部分代码取自 Crystal-Kit 项目。

详细说明所用技术的技术博客文章可以在这里找到。

Profile

• Disable the sleepmask and stage obfuscations in Malleable C2.

stage {
    set sleep_mask "false";
    set cleanup "true";
    transform-obfuscate { }
}

post-ex {
    set cleanup "true";
    set smartinject "true";
}

• 将 crystalpalace.jar 复制到你的 Cobalt Strike 客户端目录。
• 加载 Astral_Projection.cna。