BeaconEye

BeaconEye

简介

BeaconEye 会扫描正在运行的进程,查找是否存在活动的 CobaltStrike 信标。一旦发现有进程正在运行信标,BeaconEye 就会监控每个进程的 C2 活动。

它是如何工作的

BeaconEye 会扫描正在运行的进程或 MiniDump 文件,查找疑似 CobaltStrike 信标。在正在运行的进程模式下,BeaconEye 可选择作为调试器附加到进程中,并将开始监控信标活动,以检测 C2 流量(目前支持 HTTP/HTTPS 信标)。 用于加密 C2 数据和可配置配置文件的 AES 密钥会在运行时解码,这使 BeaconEye 能够在通过操作员发送命令时提取和解密信标的输出。

• 每个进程都会创建一个日志文件夹，相对于 BeaconEye 执行的当前目录。

BeaconEye 应被视为 ALPHA 版本,我希望能够获得关于无法检测的 4.x 信标或可变 C2 配置文件未正确解析导致输出解码错误的反馈。

• BeaconEye 的初始信标进程检测主要基于 @Apr4h 的 CobaltStrikeScan。 * James Forshaw 的 NtApiDotNet 库,它使得从 C# 中进行进程调试和交互变得轻而易举。 * @cube0x0 为其移植了一个纯管理模式的工具。