Интересует смена сертификата SSL, подмена заголовков http при общении бекона и сервера.
Так же что и как писать в самом Artifact Kit для обхода АВ.
Кто нибудь разобрался?

 

Интересует смена сертификата SSL, подмена заголовков http при общении бекона и сервера.

Читай доку по Malleable

https-certificate {
    set CN       "gmail.com";
    set O        "Google GMail";
    set C        "US";
    set L        "Mountain View";
    set OU       "Google Mail";
    set ST       "CA";
    set validity "365";
}

Так же что и как писать в самом Artifact Kit для обхода АВ.

Никто тебе не будет такое палить.

 

Читай доку по Malleable

Никто тебе не будет такое палить.

Вы почти воспроизвели мой личный ответ )

 

Malleable это отдельный профиль, его нужно отдельно тянуть с гитхаба и включать вместе с тим сервером?

 

Malleable это отдельный профиль, его нужно отдельно тянуть с гитхаба и включать вместе с тим сервером?

Да, профили есть на гитхабе - rsmudge/Malleable-C2-Profiles
Дока на сайте - Malleable Command and Control Language - Cobalt Strike

 

Да, профили есть на гитхабе - rsmudge/Malleable-C2-Profiles
Дока на сайте - Malleable Command and Control Language - Cobalt Strike

То есть тупо скачать профиль и при запуске тимсервера указать его название и все? Мои биконы будут имитировать работу сайта который указан, например профиль под Амазон и другие. Так чтоль?

Прилепил профиль, он ругается на невалидный сертификат и отправляет Malleable Command and Control Language - Cobalt Strike
сюда

Как прикрутить валидный сертификат?(

 

Посмотрите вы уже видео инструкции и документацию, нечего другого на эту тему не скажем.

Переведённый pdf мануал 4.0
Видео мануалы с субтитрами
Оф pdf мануал для 4.1 :

 

Я смотрел все эти видео, мне не понятно как я должен прикрутить сертификат.
Я скачал вот такой профиль mhaskar/MalleableC2-Profiles
при запуске он пишет ошибку SSL сертификата.
В коде есть запись
# HTTPS certficate details

https-certificate {
set keystore "";
set password "";
}
Где вообще берется SSL сертификат? Просто у регистраторов домена? Он будет нужного вида для кобальта?

Посмотрите вы уже видео инструкции и документацию, нечего другого на эту тему не скажем.

Переведённый pdf мануал 4.0
Видео мануалы с субтитрами
Оф pdf мануал для 4.1 :

первые два видео про домен фронтинг, мне до этого еще нужно дойти, пока я хочу разобраться с сертификатом SSL.

 

Где вообще берется SSL сертификат? Просто у регистраторов домена? Он будет нужного вида для кобальта?

А тебе точно нужен кобальт с такими вопросами?
Бесплатный серт можно получить на тех-же Let's Encrypt - Free SSL/TLS Certificates или Free SSL Certificates and SSL Tools - ZeroSSL

 

А тебе точно нужен кобальт с такими вопросами?
Бесплатный серт можно получить на тех-же Let's Encrypt - Free SSL/TLS Certificates или Free SSL Certificates and SSL Tools - ZeroSSL

хочу щелкать сетки как орешки, конечно нужен.
ты сам прикручивал сертификат к кобальту?

 

keytool -keystore ./имя.store -storepass пароль -keypass пароль -genkey -keyalg RSA -keysize 2048 или 4096 -validity в днях -alias server -dname "CN=none, OU=none, O=none, L=none, S=none, C=NO"
keytool -genkey -keystore имя.jks -alias server -keyalg RSA -validity в днях -keysize 2048 или 4096
keytool -certreq -alias server -keystore имя.jks -file имя.csr

потом в профиле

https-certificate {
    set keystore "имя.store";
    set password "пароль";
}

https-certificate {
    set C "NO";
    set CN "none";
    set L "none";
    set O "noe";
    set OU "none";
    set ST "NO";
    set validity "в днях";
}

code-signer {
    set keystore "имя.jks";
    set password "пароль";
    set alias "server";
}

В каком то из видео это точно было (на канале), мне просто лень искать точный момент. И уж точно было в доках/ мануале.
Пункт 11.7 В мануале 4.0 и 4.1
и далее.
Больше я отвечать на вопросы (ответы на которых есть в доках) уж извините не буду. Я ведь не зря просил / предлагал пройтись по всем ресурсам.

 

Вы узнайте для чего человеку сертификат. Человек думает что АВ палит из за сертификата)))) типо заменит сертификат и каким то образом сам пейлоад станет чистым))))

 

Вы узнайте для чего человеку сертификат. Человек думает что АВ палит из за сертификата)))) типо заменит сертификат и каким то образом сам пейлоад станет чистым))))

Не только из-за этого, но это самый палевный детект, у всех серверов обычные сертификаты и они внесены во все базы АВ. Глупо криптовать файл за сто баксов, не меняя сертификат, как делал ты.

 

Не только из-за этого, но это самый палевный детект, у всех серверов обычные сертификаты и они внесены во все базы АВ. Глупо криптовать файл за сто баксов, не меняя сертификат, как делал ты.

Сертификат не хранится в беконе, поэтому на детект он не может влиять.
Разве-что у них какой-то дофига навороченный NIDS.

До крипта: AntiScan.Me | beacon.bin | 17/26
После крипта: AntiScan.Me | Bginfo.exe | 0/26

Windows Defender на W10 H2 тоже не палит. Отстук есть.

 

А потом его нужно чистить с помощью Aftifact Kit, но это тебе лучше знать.

Сертификат не хранится в беконе, поэтому на детект он не может влиять.
Разве-что у них какой-то дофига навороченный NIDS.

Правильно, он не в клиенте, он тянется с сервера и палится, как и метасплоитовский https митерпритер.

 

И как долго твой бикон живет после такого крипта?

Сертификат не хранится в беконе, поэтому на детект он не может влиять.
Разве-что у них какой-то дофига навороченный NIDS.

До крипта: AntiScan.Me | beacon.bin | 17/26
После крипта: AntiScan.Me | Bginfo.exe | 0/26

Windows Defender на W10 H2 тоже не палит. Отстук есть.

 

Люди неделями сидят в сетке, используя CS, как им это удается? Простым криптом?

 

Тут нужен комплексный подход ведь.
Поменять заголовки, поменять SSL, что-то неведомое сотворить с Artifact Kit, криптануть бикона и тогда уже наверное стоит переходить с рассылкам.
Я когда криптовал бикона, он обходил АВ и запускался, но жил либо до первого действия с командным серверов либо очень недолго.

 

Или вы что запускаете его руками, обходя АВ вручную на дедиках каких-то? И нахрена тогда он нужен? Для удобства дампа хешей для pass the hash?

 

А потом его нужно чистить с помощью Aftifact Kit, но это тебе лучше знать.

Да, чистить лучше Артифактом. А уже потом накрыть криптом.

Правильно, он не в клиенте, он тянется с сервера и палится, как и метасплоитовский https митерпритер.

Не может оно палить пустой сертификат, типа того, что писали выше:

https-certificate {
    set C "NO";
    set CN "none";
    set L "none";
    set O "noe";
    set OU "none";
    set ST "NO";
    set validity "3600";
}

И как долго твой бикон живет после такого крипта?

Достаточно, особенно если сразу свалить в другой процесс.

Люди неделями сидят в сетке, используя CS, как им это удается? Простым криптом?

Это уже от защиты хостов зависит, скорее.

Или вы что запускаете его руками, обходя АВ вручную на дедиках каких-то? И нахрена тогда он нужен? Для удобства дампа хешей для pass the hash?

Что значит "обходя АВ вручную"? Нет, я их предварительно не отключаю