CobaltStrikeScan

CobaltStrikeScan 会扫描文件或进程内存,查找 Cobalt Strike 信标,并解析其配置。CobaltStrikeScan 会扫描 Windows 进程内存,查找 DLL 注入(经典注入或反射注入)的证据,并/或对目标进程的内存执行 YARA 扫描,查找 Cobalt Strike v3 和 v4 信标签。

克隆此仓库

CobaltStrikeScan 包含 GetInjectedThreads 作为子模块。克隆 CobaltStrikeScan 时，请确保使用 `git clone --recursive https://github.com/Apr4h/CobaltStrikeScan.git``，以便下载/克隆子模块的代码。

感谢

本项目的灵感来自以下研究/文章:

• SpecterOps - 防御者也会在图中思考
• JPCert - 用于检测 Cobalt Strike 的波动性插件
• SentinelLabs - APT 攻击的构成及 CobaltStrike Beacon 的加密配置
• Neo23x0 的 签名库,用于检测 Cobalt Strike 编码的配置块,提供高质量的 YARA 签名。

要求

• 64 位 Windows 操作系统
• .NET Framework 4.6
• 需要 Administrator 或 SeDebugPrivilege 权限才能扫描进程内存中已注入的线程

使用方法

…

示例