Введение

Добрый день, ранее мы уже рассказывали что такое Aggressor-скрипты, также про их самостоятельное написание.

В этой статье хотим показать пример репозитория содержащий большое количество Aggressor-скриптов для Cobalt Strike, чтобы вы не тратили время на написание данного функционала.

Репозиторий со скриптами вы можете скачать по следующей ссылке https://github.com/shorefall/LSTAR-EN.

Данная статья представлена исключительно в образовательных целях. Red Team сообщество "GISCYBERTEAM" не несёт ответственности за любые последствия ее использования третьими лицами.

Установка

Скрипты можно скачать с GitHub:

git clone https://github.com/shorefall/LSTAR-EN

Далее заходим в наш клиент Cobalt Strike и открываем Менеджер скриптов (Script Manager).

Импортируем файл LSTAR.cna.

Теперь в контекстном меню нашего бикона мы можем использовать данный скрипт.

Обзор возможностей

Перечислим основные модули, входящие в набор скриптов:

Information Gathering.
Intranet Scan.
Intranet penetration.
Privilege Escalation.
Credential acquisition.
RDP Related.
Lateral movement.
Trace removal.
Cloning_adding Users.
Misc Desktop Control.

Рассмотрим на примерах некоторые из них:

Название используемого антивирусного решения скомпромитированном хосте.

Отключение и включение RDP-сервиса.

Проверяем порт и видим, что он закрыт:

Теперь пробуем включить службу RDP через RDP Related → Turn on RDP service и проверяем с помощью nmap:

Создание локального пользователя (с целью одного из вариантов закрепления на скомпрометированном хосте).

Нажимаем Persistence → SharpShadowUser

Как видим, у нас создаелся пользователь.

Пробуем подключиться учетными данными, которые выдал бикон Cobalt Strike:

Повышение привилегий через BadPotato.

Вводим команду, которую необходимо выполнить:

Ниже представлен результат выполнения нашей команды через BadPotato:

Также можно запускать не только команды из cистемного инструментария, но и процессы, которые будут выполняться в контексте учетной записи nt authority\system.

Сканирование портов.

Для сканирования портов используется утилита fsan. fscan - это комплексный инструмент сканирования в сети, удобный для автоматического и всенаправленного сканирования пропущенных объектов. Он поддерживает сканирование портов, сканирование общих служб, ms17-010, пакетную запись открытого ключа Redis, оболочку восстановления запланированной задачи, чтение информации о сетевой карте Win, идентификацию веб-отпечатков пальцев, сканирование веб-уязвимостей, обнаружение netbios, идентификацию управления доменом и т.д.

Перед использованием необходимо сначала загрузить fscan на хост через Upload Fscan и запустить следующим образом:

Получение учетных данных из GPP (Настройки групповой политики).

GPP — это инструмент, который предоставляет администраторам некоторые расширенные возможности по настройке и управлению политикой учетных записей в сети домена Windows.

В данном примере нету пароля в групповых политиках. Также вы можете почитать о расшифровке пароля, если он есть, в этой статье: https://infosecwriteups.com/attacking-gpp-group-policy-preferences-credentials-active-directory-pentesting-16d9a65fa01a.

Получение пароля в открытом виде с помощью https://github.com/bitsadmin/fakelogonscreen

FakeLogonScreen — это утилита для имитации экрана входа в Windows с целью получения пароля пользователя. Введенный пароль проверяется в Active Directory или на локальном компьютере, чтобы убедиться в его правильности, а затем отображается на консоли или сохраняется на диске.

Полезность этой утилитой высока так как ее используют многие Red Team команд.

Использование PowerView.

Powerview - это PowerShell-скрипт, необходимый для сбора информации в домене Active Directory.

Перед его использованием в рамках скрипта LSTAR сначала необходимо загрузить его на хост, а потом импортировать:

Теперь мы можем, к примеру, запросить пользователей в домене:

В результате Cobalt Strike нам выдаст список следующих пользователей:

Заключение

В данной статье мы с Вами рассмотрели использование набора Agressor-скриптов LSTAR, которые облегчат Вам сбор информации и компрометацию активов при выполнении проектов по тестированию на проникновение.

Подписывайтесь на наш Telegram-канал https://t.me/giscyberteam

Pack Scripts для Cobalt Strike