Генерируем beacon'ы под линукс, macOS и ESXi + обход серверных АВ если нет отстука

[dunkel]

Увидел как на одном форуме продают "приватный самопис фуд бикон под линукс". Получил, поизучал - оказалось обычный elf бикон сгенерированный crossc2 накрытый пакером. Гайд для посанов как сделать так же(есть субтитры):

Аддон для CS https://github.com/gloxec/CrossC2/releases/tag/v3.3
.elf пакеры/крипторы:

GitHub - 89luca89/pakkero: Pakkero is a binary packer written in Go made for fun and educational purpose. Its main goal is to take in input a program file (elf binary, script, even appimage) and compress it, protect it from tampering and intrusion.

Pakkero is a binary packer written in Go made for fun and educational purpose. Its main goal is to take in input a program file (elf binary, script, even appimage) and compress it, protect it from ...

github.com

GitHub - guitmz/ezuri: A Simple Linux ELF Runtime Crypter

A Simple Linux ELF Runtime Crypter. Contribute to guitmz/ezuri development by creating an account on GitHub.

github.com

GitHub - upx/upx: UPX - the Ultimate Packer for eXecutables

UPX - the Ultimate Packer for eXecutables. Contribute to upx/upx development by creating an account on GitHub.

github.com

GitHub - arisada/midgetpack: midgetpack is a multiplatform secure ELF packer

midgetpack is a multiplatform secure ELF packer. Contribute to arisada/midgetpack development by creating an account on GitHub.

github.com

GitHub - sebastiencs/Packer_ELF: ELF packer - x86_64

ELF packer - x86_64. Contribute to sebastiencs/Packer_ELF development by creating an account on GitHub.

github.com

GitHub - GunshipPenguin/kiteshield: Packer/Protector for x86-64 ELF binaries on Linux

Packer/Protector for x86-64 ELF binaries on Linux. Contribute to GunshipPenguin/kiteshield development by creating an account on GitHub.

github.com

файлообменник https://filetransfer.io/data-package/6woeGMW9#link
всем больших rev и жирных профитов

 

[Adderall]

А под если надо виндовс полагаю в генерации бекона надо сменить с Linux на Windows и появится exe ?

 

[dunkel]

А под если надо виндовс полагаю в генерации бекона надо сменить с Linux на Windows и появится exe ?

Cs изначально преднаназначен для пентеса винды и в его вкладке payloads есть только полезные нагрузки для винды, аддон добавляет только генератор нагрузок под unix системы
если вы новичок рекомендую почитать документацию и юзер гайд https://hstechdocs.helpsystems.com/.../content/topics/welcome_main.htm#_Toc65482706
stager payload - маленькая нагрузка которая при выполнении сначала скачивает с вашего тимсервера основное тело бикона(лучше, весит меньше, меньше детектов, но не сработает из системы где есть фильтрация трафика или машине запрещен внешний доступ в интернет)
stageless - нагрузка которая сразу подключается к тимсерверу и выполняет команды

 

[qwerty1337]

машине запрещен внешний доступ в интернет

так тут любой бекон не сработает , тут уже надо рожать пивотинг

 

[darknode]

вообще для чего используется cobalt strike?

 

[Lowbanger]

Для постэксплуатации

вообще для чего используется cobalt strike?

 

[dunkel]

так тут любой бекон не сработает , тут уже надо рожать пивотинг

Я имел ввиду бывает что физически машина подключена, но все запросы кроме определенных к определенным ресурсам блокируются, кроме dns. Тогда тут пригодится stageless с dns связью

 

[blackhand]

Я имел ввиду бывает что физически машина подключена, но все запросы кроме определенных к определенным ресурсам блокируются, кроме dns. Тогда тут пригодится stageless с dns связью

Либо можно влезьть в вайтлист доменов аля VirusTotal C2. Не знаю даже что неудобнее dns tunneling или использовать такие костыли

 

[nipomwar]

good video for experts obio it is not relevant ..you might have a video of lateral movement with firewal on

 

[bigheadguy]

вообще для чего используется cobalt strike?

Для постэксплуатации

не очень понял ответ
а разве не для того, чтобы контролить сеть?
может это сумбурный вопрос. но в таком случае поясните

как мне представлялось: ставишь КС в свою сеть и другой владелец КС уже не получит доступ?
как минимум, официальная версия так и продавалась

 

[dunkel]

не очень понял ответ
а разве не для того, чтобы контролить сеть?
может это сумбурный вопрос. но в таком случае поясните

как мне представлялось: ставишь КС в свою сеть и другой владелец КС уже не получит доступ?
как минимум, официальная версия так и продавалась

Нет. Допустим ты нашел rce уязвимость, что будешь с ней делать? Когда ты уже нашел уязвимость, умеешь ее эксплуатировать, дальше начинается постэксплуатация. Ты генерируешь stage payload допустим шеллкод. Вставляешь его в места где из за уязвимости он может выполнится, и если он выполнится ты получишь удобный контроль над жертвой, дальше уже через это удаленное управление делай что хочешь. Можешь начинать "монетизировать" свой доступ, или если ты допустим в корпоративной сети - продолжить боковое перемещение

 

[Grimaldus]

Этот аддон (CrossC2) какой-то мутноватый. Исходников нет. Основной язык общения проекта на GitHub'е - китайский. Сам CrossC2 внутри себя использует ещё более мутный проект CrossC2Kit, который вообще представляет собой набор динамических библиотек. Что там спрятано в этих библиотеках - непонятно. Маяки, опять же, можно сгенерить только под ограниченное кол-во архитектур.

Кто-нибудь этим аддоном в боевой работе пользовался?

P.S. В этом аддоне есть ссылки на какие-то сорцы CS. Кто-нибудь что-нибудь слышал об утечках сорцов Cobalt Strike?