Bypass谷歌发布的165条Cobalt Strike YARA规则

前言

近日,谷歌云威胁情报团队开源了一组YARA规则,以帮助防御者标记和识别Cobalt Strike及其版本。(https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse)


试一波

项目地址:https://github.com/chronicle/GCTI/tree/main/YARA

使用自己的加载器上线,写个脚本批量扫一下:

import os

path = "C:UsersxxxDesktopYARACobaltStrike"

def scan(path):
 
   file_list = os.listdir(path)
   
   for file in file_list:
       fullPath = os.path.join(path,file)
       cmd = "C:UsersxxxDesktopYARAyara64.exe " + fullPath + " 11200"
       result = os.popen(cmd).read()
       if result:
           print(result)
       
if __name__ == '__main__':
   scan(path)

结果如下(sleep和执行命令前后结果一致):

Bypass谷歌发布的165条Cobalt Strike YARA规则

命中两条规则:

CobaltStrike__Sleeve_Beacon_x64_v4_5_variant

CobaltStrike__Sleeve_BeaconLoader_MVF_x64_o_v4_3_v4_4_v4_5_and_v4_6

嗯,确实精准,下面开始bypass……


CobaltStrike__Sleeve_Beacon_x64_v4_5_variant

这条规则出自:CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara

具体如下:

rule CobaltStrike__Sleeve_Beacon_x64_v4_5_variant
{
meta:
  desc="Cobalt Strike's sleeve/beacon.x64.dll Versions 4.5 (variant)"
  rs1 = "8f0da7a45945b630cd0dfb5661036e365dcdccd085bc6cff2abeec6f4c9f1035"
  author = "gssincla@google.com"
   
strings:
  /*
    41 B8 01 00 00 00 mov     r8d, 1
    8B D0             mov     edx, eax
    49 8B CA         mov     rcx, r10
    48 83 C4 28       add     rsp, 28h
    E9 E8 AB FF FF   jmp     sub_1800115A4
    8B D0             mov     edx, eax
    49 8B CA         mov     rcx, r10
    E8 1A EB FF FF   call   f_UNK__Command_92__ChangeFlag
    48 83 C4 28       add     rsp, 28h
  */
  $version_sig = { 41 B8 01 00 00 00 8B D0 49 8B CA 48 83 C4 28 E9 E8 AB FF FF
                    8B D0 49 8B CA E8 1A EB FF FF 48 83 C4 28 }

  /*
    80 34 28 ??       xor     byte ptr [rax+rbp], 2Eh
    48 FF C0         inc     rax
    48 3D 00 10 00 00 cmp     rax, 1000h
    7C F1             jl     short loc_180018E1F
  */

  $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 }
   
condition:
  all of them
}

特征出自beacon.x64.dll,改dll特征需要注意一点:不能影响程序功能,那么最简单的方式就是找那些两条指令交换顺序是不影响的

比如$version_sig中mov edx, eaxmov rcx, r10,可参考我之前的文章(https://mp.weixin.qq.com/s/5HYELRGm6XClvJ1ZHBHVKg

接下来掏出心爱的ida,找到对应的地方:

Bypass谷歌发布的165条Cobalt Strike YARA规则

修改后:

Bypass谷歌发布的165条Cobalt Strike YARA规则

而$decoder中检测的是配置信息的xor功能,可参考我之前的文章(https://mp.weixin.qq.com/s/fhcTTWV4Ddz4h9KxHVRcnw

80 34 28 ??       xor     byte ptr [rax+rbp], 2Eh
48 FF C0         inc     rax
48 3D 00 10 00 00 cmp     rax, 1000h
7C F1             jl     short loc_180018E1F

这里段程序只有4行,看上去是没法用之前的方法改了,实际上进行一个简单分析后,同样是能改掉特征的,而且比较简单,汇编比较熟的童鞋应该很快就能发现,这里就不公开了,留给大家思考 o(*≧▽≦)ツ

验证一下,由于rule CobaltStrike__Sleeve_Beacon_x64_v4_5_variant是all of them,而$version_sig已经bypass了,所以这里改成$version_sig or $decoder

Bypass谷歌发布的165条Cobalt Strike YARA规则

成功bypass

Bypass谷歌发布的165条Cobalt Strike YARA规则


CobaltStrike__Sleeve_BeaconLoader_MVF_x64_o_v4_3_v4_4_v4_5_and_v4_6

这条规则出自:CobaltStrike__Sleeve_BeaconLoader_all.yara

具体如下:

rule CobaltStrike__Sleeve_BeaconLoader_MVF_x64_o_v4_3_v4_4_v4_5_and_v4_6
{
meta:
  desc="Cobalt Strike's sleeve/BeaconLoader.MVF.x64.o (MapViewOfFile) Versions 4.3 through at least 4.6"
  rs1 = "9d5b6ccd0d468da389657309b2dc325851720390f9a5f3d3187aff7d2cd36594"
  author = "gssincla@google.com"
   
strings:
  /*
    C6 44 24 58 4D mov     [rsp+98h+var_40], 4Dh ; 'M'
    C6 44 24 59 61 mov     [rsp+98h+var_3F], 61h ; 'a'
    C6 44 24 5A 70 mov     [rsp+98h+var_3E], 70h ; 'p'
    C6 44 24 5B 56 mov     [rsp+98h+var_3D], 56h ; 'V'
    C6 44 24 5C 69 mov     [rsp+98h+var_3C], 69h ; 'i'
    C6 44 24 5D 65 mov     [rsp+98h+var_3B], 65h ; 'e'
    C6 44 24 5E 77 mov     [rsp+98h+var_3A], 77h ; 'w'
    C6 44 24 5F 4F mov     [rsp+98h+var_39], 4Fh ; 'O'
    C6 44 24 60 66 mov     [rsp+98h+var_38], 66h ; 'f'
    C6 44 24 61 46 mov     [rsp+98h+var_37], 46h ; 'F'
    C6 44 24 62 69 mov     [rsp+98h+var_36], 69h ; 'i'
    C6 44 24 63 6C mov     [rsp+98h+var_35], 6Ch ; 'l'
    C6 44 24 64 65 mov     [rsp+98h+var_34], 65h ; 'e'
  */

  $core_sig = {
    C6 44 24 58 4D
    C6 44 24 59 61
    C6 44 24 5A 70
    C6 44 24 5B 56
    C6 44 24 5C 69
    C6 44 24 5D 65
    C6 44 24 5E 77
    C6 44 24 5F 4F
    C6 44 24 60 66
    C6 44 24 61 46
    C6 44 24 62 69
    C6 44 24 63 6C
    C6 44 24 64 65
  }

  // These strings can narrow down the specific version
  //$ver_43 = { 96 2C 3E 60 }         // Version 4.3
  //$ver_44_45_46 = { D2 57 86 5F }   // Versions 4.4, 4.5, and 4.6
   
condition:
  all of them
}

cs会根据profile中allocator选项选择相应的反射加载器,对应三种申请内存的方式:HeapAlloc、MapViewOfFile 和 VirtualAlloc

这里我使用的是MapViewOfFile,再次拿起心爱的ida,打开BeaconLoader.MVF.x64.o,找到对应的位置:

Bypass谷歌发布的165条Cobalt Strike YARA规则

这可太简单了,直接把顺序打乱就行,不影响

Bypass谷歌发布的165条Cobalt Strike YARA规则

验证一下,全部bypass:

Bypass谷歌发布的165条Cobalt Strike YARA规则


结语

每只CS的体质不同(profile、linstener、架构、魔改等),命中的规则也不同,本文只是抛砖引玉。

不要给我提什么:哎呀你还用cs啊,我们都换别的啦,我们都自研啦巴拉巴拉,我只是觉得对于很多平民玩家,缝缝补补能用,不就行了吗?


原文始发于微信公众号(零队):Bypass谷歌发布的165条Cobalt Strike YARA规则

版权声明:admin 发表于 2022年11月25日 下午8:45。
转载请注明:Bypass谷歌发布的165条Cobalt Strike YARA规则 | CTF导航

相关文章

暂无评论

暂无评论...