CustomC2ChannelTemplate

IAT Hooking for custom C2 channels This is a simple PoC and template for developing custom C2 channels for Cobalt Strike using IAT hooks applied by a reflective loader. Blog post: https://codex-7.gitbook.io/codexs-terminal-window/red-team/cobalt-strike/building-custom-c2-channels-by-hooking-winin...

cua-kit

CUA-Kit A toolkit for enumerating and interacting with computer use agents on Windows and macOS systems. Tools Tool| Description| Outputs ---|---|--- cua-enum| Enumerate computer use agent configurations Claude Code, Codex CLI, Cursor, Gemini CLI| .exe, .x64.o cua-exec| Execute computer use agent...

DNS_Tunneling

介绍 受我近期参与的一个涉及 Cobalt Strike DNS 信标的工作启发，结合尝试绕过 Microsoft Defender for Endpoint 的任务目标，我花了一些时间研究如何利用 DNS 将载荷传输到目标机器。我还进一步挑战自己，尝试在 PowerShell 处于受限语言模式时也能实现这一目标。这项研究主要针对较新的 Windows 版本（例如 Windows 10+、Server 2019+），但正如你稍后所见，较低版本也可能实现。 背景 什么是 DNS 隧道？ DNS 隧道是一项历史悠久的技术，被多种攻击者使用。简单来说，它利用 DNS...

1135-CobaltStrike-ToolKit

1135-CobaltStrike-ToolKit Malleable C2 Files Los archivos de perfil Malleable C2 de Cobalt Strike están diseñados para contrarrestar el análisis de tráfico. Definen el «formato y método de comunicación» del tráfico C2 entre la víctima y el servidor del equipo. Al hacer pasar el tráfico C2 por...

WindowSpy

WindowSpy 👀 WindowSpy 是一个 Cobalt Strike 信标对象文件，用于针对特定用户进行监控。该项目旨在仅在特定目标上触发监控功能，例如浏览器登录页面、机密文档、VPN 登录等。目的是通过防止重复使用监控功能（如截图）被检测，从而增加用户监控期间的隐蔽性。它还能节省红队筛选大量用户监控数据的时间，而这些数据如果持续运行键盘记录或屏幕监视功能就会产生。 工作原理 每次信标回连时，BOF 在目标上运行。BOF 包含一个硬编码的字符串列表，这些字符串常见于有用的窗口标题中，例如 login、administrator、control panel、vpn...

ycsm

You Can't See Me YCSM Este es un script de instalación rápida para un redirector resiliente que utiliza nginx como proxy inverso y letsencrypt, compatible con algunos RAT populares Cobalt Strike, Empire, Metasploit. Si se selecciona HTTPS, configurará automáticamente letsencrypt certbot, obtendrá...

AzureC2Relay

AzureC2Relay AzureC2Relay 是一个 Azure Function，用于验证并中继 Cobalt Strike 信标流量，它根据 Cobalt Strike 的可塑 C2 配置文件（Malleable C2 profile）验证传入请求。任何不匹配配置文件中的用户代理（User-Agent）、URI 路径、标头和查询参数的传入请求，都将被重定向到一个可配置的诱饵网站。经过验证的 C2 流量会被中继到同一虚拟网络内的团队服务器（Team Server），该服务器通过网络安全组进一步限制访问，使得虚拟机仅暴露 SSH 端口。 部署 AzureC2Relay 通过...

external_c2_framework

externalc2 框架 用于与 Cobalt Strike 的 External C2 规范配合使用的 Python 框架，该规范见规范。 主要设计目标是成为 external c2 规范的一种高度模块化实现，提供足够的抽象，以便轻松为 Cobalt Strike 实现 C2 信道。理想情况下，用户只需创建一个 transport 模块、一个 encoder 模块，并填写一个配置文件，即可实现新的信道。 Dropbox 传输配置 在开始运行之前，你需要完成几项配置更改。你需要： 1. 如果你还没有 Dropbox 账户，请先创建一个（https://www.dropbox.com/）...

Ladon

Ladon 大型内网渗透扫描器 Cobalt Strike插件内存加载 程序简介 Ladon大型内网渗透扫描器\域渗透\横向工具，PowerShell模块、Cobalt...

Awesome-CobaltStrike

Awesome CobaltStrike 目录 0x00 简介 0x01 文章与视频 1. 基础知识 2. 破解与定制 3. 实用技巧 4. CobaltStrike 隐匿 5. CobaltStrike 分析 6. CobaltStrike 视频 0x02 C2 配置文件 0x03 BOF 0x04 Aggressor 脚本 0x05 相关工具 0x06 相关资源 0x00 简介 1. 第一部分是精选的关于 CobaltStrike 的高质量文章合集 2. 第三部分是关于 BOF 新特性资源的整合 3. 这个项目旨在解决在需要时找不到合适的 Aggressor 脚本或 BOF...

BOF_Collection

BOFCollection 各种 Cobalt Strike BOF 要求 beacon.h 编译说明和 BOF 概述请参阅 help-bof ActiveDirectory GetDomainInfo.c 返回当前域和域控制器的相关信息。 inline-execute GetDomainInfo.o 收集 GetClipboard.c 打印剪贴板上的任何文本。 inline-execute GetClipboard.o dumpwifi.c 枚举 WiFi 接口并转储明文凭据 load dumpwifi.cna enumwifi dumpwifi WifiProfileName 网络...

MalleableC2Profiles

MalleableC2Profiles Perfiles Malleable C2 para Cobalt Strike versión 3.6+ bingsearchgetonly.profile - Perfil de búsqueda web de Bing, solo usa solicitudes GET cnnvideogetonly.profile - Perfil de transmisión de video en vivo de MSNBC, solo usa solicitudes GET googledrivegetonly.profile - Perfil...

CobaltWhispers

CobaltWhispers 作者：@Cerbersec CobaltWhispers 是一款 Aggressor 脚本，利用一组用于 Cobalt Strike 的 Beacon Object File 来执行进程注入、持久化等操作，并借助直接系统调用（direct syscalls）绕过 EDR/AV。 CobaltWhispers 由 SysWhispers2 和 InlineWhispers2 提供支持 CobaltWhispers 基于 StayKit 以及 Hasherezade 和 Forrest Orr 的工作成果。 CobaltWhispers 是在 NVISO...

RdpThief

RdpThief RdpThief 本身是一个独立的 DLL，当注入到 mstsc.exe 进程时，会执行 API 挂钩，提取明文凭据并将其保存到文件中。 它附带一个攻击脚本，用于管理状态、监控新进程并将 shellcode 注入到 mstsc.exe 中。该 DLL 已使用 sRDI 项目 https://github.com/monoxgas/sRDI 转换为 shellcode。启用后，RdpThief 将每 5 秒获取一次进程列表，搜索 mstsc.exe 并注入其中。 当攻击脚本加载到 Cobalt Strike 中时，将提供三个新命令： rdpthiefenable –...

ScheduleRunner

ScheduleRunner - 一个具有更高灵活性的C工具，用于定制红队操作中的计划任务，以支持持久化和横向移动 计划任务是过去十年中最流行的攻击技术之一，如今黑客/红队成员仍常将其用于持久化和横向移动。 已有多种C工具被开发出来模拟使用计划任务的攻击。我尝试过其中一些，但每个工具在定制计划任务方面都有其局限性。因此，本项目旨在提供一个C工具（兼容CobaltStrike的execute-assembly），包含我所需要的功能，并提供足够的灵活性来定制计划任务。 截图： 方法 /method: 方法| 功能 ---|--- create| 创建一个新的计划任务 delete|...

cs_yara

csyara Comprueba las reglas Yara de Cobalt Strike Enlaces de referencia https://github.com/CCob/BeaconEye Corrección de errores de BeaconEye: https://wbglil.gitbook.io/cobalt-strike/cobalt-strike-gong-ji-fang-yu/untitled-1 regla obtenida de...

BeaconHunter

BeaconHunter 基于行为的监控与狩猎工具，使用 C 构建并利用 ETW 追踪。蓝队成员可使用此工具检测和响应潜在的 Cobalt Strike 信标。红队成员可使用此工具研究 ETW 绕过技术并发现行为类似信标的新进程。 作者 ：Andrew Oliveau @AndrewOliveau 摘要 注入良性进程中的信标植入体，其线程通常处于 Wait:DelayExecution 状态（可能与 Cobalt Strike 的 sleep 有关）。查找所有包含处于 Wait:DelayExecution 状态线程的进程，然后利用 ETW 追踪专门监控可疑线程活动： HTTP/HTTP...

MoveKit

MoveKit - Cobalt Strike 横向移动工具包 MoveKit 是内置 Cobalt Strike 横向移动功能的扩展，它利用 executeassembly 函数以及 SharpMove 和 SharpRDP .NET 程序集。攻击者脚本通过读取特定执行类型的模板文件来处理负载创建。 重要提示：要使用该脚本，用户只需加载 MoveKit.cna 攻击者脚本，该脚本将同时加载所有其他必要的脚本。此外，根据所执行的操作，需要编译 SharpMove 和 SharpRDP 程序集并将其放入 Assemblies 目录中。最后，某些文件移动需要动态编译，这需要 Mono。...

external_c2

简介 Cobalt Strike 包含一个名为 externalc2 的新 / 实验性功能。它绕过了可塑性配置（mallable profiles），并允许开发者自定义自己的通信通道。该代码是一个概念验证（POC），最终成为了解决实际问题的方案。 代码内容 c2file.c：一个 C 语言实现的客户端（与 Beacon 通信的进程） c2filedll.c, c2filedll.h, c2file.py：一个 Python 语言实现的客户端（使用 DLL，与 Beacon 通信的进程），便于快速开发复杂通道 pythonc2ex.py：与团队服务器 externalc2 插件通信的服务端...

external_c2_framework

externalc2 framework Python framework for building and utilizing interfaces to transfer data between frameworks, with a specific focus on serving as an extension to Command and Control frameworks. Currently, this is only intended as an implementation of Cobalt Strike's External C2 specification a...