Cobalt Strike 3.13的新功能

柔光的暖阳◎ 2024-03-31 11:38 28阅读 0赞

Cobalt Strike 3.13现已推出。此版本添加了TCP Beacong，进程参数欺骗，并将Obfuscate和Sleep功能扩展到SMB和TCP Beacons。

#### **TCP Beacon** ####

Cobalt Strike长期以来能够[绕过命名管道][Link 1]。Cobalt Strike 3.13使用[TCP Beacon][]扩展了这种点对点的pivot模型。现在，您可以使用绑定TCPBeacon作为权限提升和横向移动的目标。与SMBBeacon一样，您可以断开与TCPBeacon的连接，稍后再从另一个Beacon(在同一个Cobalt Strike实例中)重新连接到它。

Cobalt Strike 3.13中的[Pivot Listeners][]现在是stageless的反向TCP Beacon listeners。您可以从Beacon会话绑定一个pivot listener，并导出一个连接到它的[stageless TCP Beacon artifact][]。

Cobalt Strike的[SSH会话][SSH]也能够控制TCP Beacon会话！是的，您现在可以通过SSH连接到数据 pivot 主机并使用它来恢复对Beacon网格的控制。

![Image 1][]

反向TCP Beacon的Pivot Listeners也可以通过SSH会话运行，但有一点需要注意：SSH守护进程通常仅限制反向端口转发到本地主机。您可以使用SSH配置中的GatewayPorts选项更改此设置。对于那些使用[dropbear][]作为\* NIX RAT的人，这是一个很好的附加pivoting选项

#### **进程参数欺骗** ####

对于红队职业选手而言，2018年的演讲者之一是[ ][Link 2][EDR Age ][EDR Age][红队][EDR Age]的[Will Burgess][Link 2]。本次演讲讨论了EDR规避的一些技巧，包括：欺骗父进程，进程参数欺骗和隐藏内存。在Will的演讲之后，我选择了如何在Cobalt Strike中添加进程参数欺骗作为会话准备选项。我想到的是：

beacon的argu命令允许您向内部列表添加一个命令和一组伪参数。当Beacon启动其中一个命令\[需要完全匹配\]时，它将以挂起状态下的伪参数启动它。然后，beacon用实参更新进程内存并恢复执行。订阅新进程创建事件的工具将看到旧参数。子进程将使用欺骗参数执行。这种技术是一种回退查找恶意进程参数的方法。。

像往常一样，这并不是100％适用于红队的新技术。此技术依赖于在远程进程中读取和写入内存。这是不好的一个指标。

正如我所实现的，这种技术可以运行x86 - > x86和x64 - > x64。此外，这种技术要求伪参数与实际参数一样长或更长。最后，通过读取进程PEB来确定进程参数的程序将看到您的真实参数，而不是我们的伪参数。

尽管如此，当您绝对需要在目标上运行一个进程来完成某项任务时，这种技术是另一种掩盖您的动作的方法。

进程欺骗演示：

此视频演示了Cobalt Strike 3.13中的过程参数欺骗。这项技术基于Will Burgess在Wild West Hackin’Fest 2018的EDR Age Talk中提出的想法：

![ddfc0b0bda7e13e9bea6fd92aabca70a.jpeg][]

![e2a917f5aa42ec9103c91f124bfeb838.jpeg][]

![baa32c57946048c0e822373dacaed8fa.jpeg][]

![bd6b8445b7c503dbe4a54270314cf300.jpeg][]

![3d8233d52931e30adfeff60bd236fbf7.jpeg][]

![fc5df66e63ea1bee279e4611d32e60a8.jpeg][]

#### **内存混淆** ####

我一直认为拥有[一个可以在内存中混淆自身的有效载荷][Link 3]会很酷。这是一个很好的方法来推回到寻找静态字符串的时间点分析上。[Cobalt Strike 3.12][]为HTTP / HTTPS和DNS Beacon有效载荷引入了此功能。

Cobalt Strike 3.13也将此功能扩展到SMB和TCP Beacons。现在，这些Beacons会在等待新连接时混淆自己。当他们等待从父Beacon读取信息时，他们也会混淆自己。实际上，这些Beacons将花费大量时间进行混淆。

要启用此行为，请在**Malleable** [C2配置文件][C2]中将**stage - > sleep\_mask**选项设置为true 。为了[获得最干净的内存体验][Link 4]，我建议将**stage - > cleanup**设置为true，并主要使用[stageless payloads][]

## Obfuscate and Sleep演示： ##

Obfuscate and Sleep是一个Malleable C2选项，在Cobalt Strike 3.12.引入。启用后，Beacon将在进入 Sleep状态之前在内存中混淆自身。当它运行的时候，它会自己去混淆。

![b24a35733a8b2415eda79a9b2f4a5e79.jpeg][]

![3fb96c63ac656f21b3f67436450d4591.jpeg][]

![a35261c0ec97d465cd548e91c759069f.jpeg][]

![4959f0a2dd4d5969cca200bcb560f2ab.jpeg][]

![94d18cac2672fbaa367534b60bb77334.jpeg][]

![bc586cb4499d6165ef254e0a56bd30d5.jpeg][]

![06b706ffd2f3e834320670f533935ad5.jpeg][]

![060dfc85c66e9aee9c692c53e33d24ff.jpeg][]

![10f7b3cd8f1a4e4d912c64d6f61e12b7.jpeg][]

![64101065325da3b3794c47768a7d57e9.jpeg][]

![8aee5d01c2ce3e49a822f404fa352459.jpeg][]

#### **令牌魔术** ####

执行**execute-assembly**、**net、portscan**和**powerpick**命令，现在使用您当前的令牌。此版本还更新**make\_token**命令。它现在将您提供的凭证存储在Beacon中。当Beacon 没有使用新创建的令牌运行新进程的权限时，它将使用这些凭据回退到CreateProcessWithLogonw。这使得make-token在很大程度上可以从非特权上中使用。

查看[发行说明][Link 5]，可看到Cobalt Strike 3.13中新功能的完整列表。授权用户可以使用[更新程序][Link 6]获取最新信息。一个[21天的 Cobalt Strike trial][21_ Cobalt Strike trial] 也可用。

<wiz\_tmp\_tag id="wiz-table-range-border" contenteditable="false" style="display: none;">

[Link 1]: https://blog.cobaltstrike.com/2015/10/07/named-pipe-pivoting/
[TCP Beacon]: https://www.cobaltstrike.com/help-tcp-beacon
[Pivot Listeners]: https://www.cobaltstrike.com/help-pivot-listener
[stageless TCP Beacon artifact]: https://www.cobaltstrike.com/help-staged-exe
[SSH]: https://www.cobaltstrike.com/help-ssh
[Image 1]: 
[dropbear]: https://matt.ucc.asn.au/dropbear/dropbear.html
[Link 2]: https://twitter.com/joehowwolf
[EDR Age]: https://www.youtube.com/watch?v=l8nkXCOYQC4
[ddfc0b0bda7e13e9bea6fd92aabca70a.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/c779d774841a4904b530cc191f60dc3d.jpeg
[e2a917f5aa42ec9103c91f124bfeb838.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/fdc3f9699948404c96c3c2c1ff7d3220.jpeg
[baa32c57946048c0e822373dacaed8fa.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/b77ec5140a524af491d4bca8ec0e7f82.jpeg
[bd6b8445b7c503dbe4a54270314cf300.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/5b933867917c4baa9f202de0363080a1.jpeg
[3d8233d52931e30adfeff60bd236fbf7.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/504cf7a498864c0988a9d799cd020e6a.jpeg
[fc5df66e63ea1bee279e4611d32e60a8.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/2762705103d745b08c5838427e0e5901.jpeg
[Link 3]: https://www.youtube.com/watch?v=AV4XjxYe4GM
[Cobalt Strike 3.12]: https://blog.cobaltstrike.com/2018/09/06/cobalt-strike-3-12-blink-and-youll-miss-it/
[C2]: https://www.cobaltstrike.com/help-malleable-c2#memory
[Link 4]: https://blog.cobaltstrike.com/2018/02/08/in-memory-evasion/
[stageless payloads]: https://blog.cobaltstrike.com/2016/06/22/talk-to-your-children-about-payload-staging/
[b24a35733a8b2415eda79a9b2f4a5e79.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/ec2e0872771c4d20be246cc50c33c492.jpeg
[3fb96c63ac656f21b3f67436450d4591.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/79ec92d702464cfe8c7d259e5cf66326.jpeg
[a35261c0ec97d465cd548e91c759069f.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/06297dfe7efb49569ae0359a6996f201.jpeg
[4959f0a2dd4d5969cca200bcb560f2ab.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/33bb86d29ea241d6aec289451cd6b3d4.jpeg
[94d18cac2672fbaa367534b60bb77334.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/8653055a5b5449f18e2dfe0db36e9e51.jpeg
[bc586cb4499d6165ef254e0a56bd30d5.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/faa29d2617f1415aa6aada79804432d4.jpeg
[06b706ffd2f3e834320670f533935ad5.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/d7337c8738104717b408eec2d37062a8.jpeg
[060dfc85c66e9aee9c692c53e33d24ff.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/fcc0b3c8d0ab4e5d81045ae9db0602a4.jpeg
[10f7b3cd8f1a4e4d912c64d6f61e12b7.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/ee1b67292cc74329b148210d6b3c9da9.jpeg
[64101065325da3b3794c47768a7d57e9.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/dba7d1fe3cd249cea25df1b0fd511098.jpeg
[8aee5d01c2ce3e49a822f404fa352459.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/8e25bc66241a49daa5c1b007373b34b2.jpeg
[Link 5]: https://www.cobaltstrike.com/releasenotes.txt
[Link 6]: https://www.cobaltstrike.com/help-update-cobalt-strike
[21_ Cobalt Strike trial]: https://trial.cobaltstrike.com/