逆向分析Cobalt Strike安裝後門

安全分析與研究

專注於全球惡意軟體的分析與研究

Cobalt Strike簡介

Cobalt Strike是一款基於java的滲透測試神器，也是紅隊研究人員的主要武器之一，功能非常強大，非常適用於團隊作戰，Cobalt Strike集成了埠轉發、服務掃描，自動化溢出，多模式埠監聽，win exe木馬生成，win dll木馬生成，java木馬生成，office宏病毒生成，木馬捆綁；釣魚攻擊包括：站點克隆，目標信息獲取，java執行，瀏覽器自動攻擊等，至於Cobalt Strike詳細怎麼玩，我就不介紹了，網上很多教程，功能也很強大，我主要想從逆向的角度去分析一下Cobalt Strike安裝後門的技術原理，跟蹤一下它是如何與伺服器進行連接，並安裝Beacon後門模塊的。

搭建測試環境

測試環境：

1.服務端 kali 用於Cobalt Strike服務端

2.攻擊機 win7 用於Cobalt Strike客戶端

3.測試機 win7 測試安裝Cobalt Strike的後門程序

工具

Cobalt Strike 4.1中文版

啟動Cobalt Strike伺服器，如下所示：

啟動Cobalt Strike客戶端，生成EXE後門，如下所示：

Cobalt Strike監聽器的Payload可以自定義設置，我這裡以Beacon HTTP為例，如下所示：

生成EXE後門之後在測試機上運行，客戶端會提示有主機上線，開啟beacon操作接口，如下所示：

後面就可進行各種操作了，這裡就不介紹了，教程很多，也有很多不同的玩法，我主要對生成的EXE比較感興趣，重點研究一下生成的EXE，是怎麼運行的。

逆向跟蹤分析

1.拼接字符串，如下所示：

2.創建線程，連接管道，如下所示：

3.通過VirtualAlloc分配內存空間，解密shellcode代碼，如下所示：

4.解密出來shellcode代碼，如下所示：

5.跳轉執行解密出來的shellcode代碼，如下所示：

6.shellcode代碼，加載wininet.dll，如下所示：

7.調用InternetOpenA，InternetConnectA等函數連接伺服器，如下所示：

8.調用HttpOpenRequestA，HttpSendRequestA等函數向伺服器發送連接請求，如下所示：

9.調用VirtualAlloc分配內存空間，存放返回的數據，如下所示：

10.通過InternetReadFile循環讀取伺服器返回的數據，如下所示：

11.從伺服器上返回的數據，如下所示：

分析返回的數據，為Cobalt Strike反射型注入後門模塊beacon.dll，如下所示：

這樣beacon的後裝模塊就安裝成功了，就是之前我們在客戶端上通過beacon的後門模塊進行後面的操作了。

通過動態跟蹤分析發現Cobalt Strike的Revere HTTP的ShellCode執行流程，如下所示：

wininet.dll->InternetOpenA->InternetConnectA->HttpOpenRequestA->HttpSendRequestA->VirtualAlloc->InternetReadFile，反射加載執行返回的beacon.dll後門模塊。

上面對Cobalt Strike的Bean HTTP Reverse的Payload的實例進行了逆向分析，其他的Payload模塊可以使用相同的方法進行跟蹤分析，就不做介紹了，可自行進行深入的研究，其實做安全到最後都是相通的，基礎安全研究才是安全的核心。

不忘初心

做安全不忘初心，方得始終，只要你做的事是對社會有意義的，能幫助別人就是有價值的事，就一定要堅持做到底，最後都會有回報，前段時間筆者獲得了江蘇省信息網絡安全協會2019年的優秀個人獎，非常感謝協會朋友對筆者的認可，如何做一家偉大的企業，我覺得偉大的企業，一定是對客戶，對社會，對國家，或者更大一點說是對全人類有貢獻有幫助的企業，當你的客戶提起你的企業的時候，會從內心覺得這家企業是做實事的，覺得你的產品和服務，實實在在地幫助他們解決了一些問題，給他們創造了一些價值，這樣你就自然而然的會賺到錢，賺錢永遠不是偉大企業的目標，只要是做對社會有貢獻的事，對別人有幫助的事，讓客戶信任你的產品，滿意你的服務，相信你的專業，就一定能賺到錢，偉大的企業，在別人的眼中，肯定不僅僅只是一家只會賺錢的企業，當你能真正幫助到企業，就一定可以賺到錢，客戶也願意與你合作，也願意花錢購買你的產品和服務，只這樣的企業將來才能越做越大，越做越強，最後成為一家偉大的企業，受到客戶的尊敬。

堅持做對社會有貢獻的事，堅持做對別人有幫助的事，身為一個安全研究人員，要不忘初心，當國家有需要的時候，有時間和機會一定要為國家網絡安全事業儘自己的一點微薄之力，全球網絡安全戰已經開始，未來需要更多專業的安全研究人員，一起努力，共同進步。

最後打個小廣告：

主管前幾天跟我說還要招一到兩名安全研究人員，如果你對惡意樣本研究感興趣，想從事最基礎的安全研究工作，可以投簡歷給我，或微信與我聯繫，我們聊聊，我們一直做的就是最基礎的安全研究，基礎安全研究是安全的核心，就像很多人稱自己做了好多年的安全，其實並不懂安全，主要還是基礎安全研究做的少，做安全萬變不離其餘，其實做到最後都是相通的，沉下心來，做基礎安全研究，將來才能走的更遠，做安全永遠在路上，沒有終點。

往期推薦

安全的路很長，致迷茫的你

淺談二進位漏洞研究與病毒研究

王正

筆名：熊貓正正

惡意軟體研究員

長期專注於全球各種流行惡意軟體的分析與研究，深度追蹤全球黑客組織的攻擊活動，擅長各種惡意軟體逆向分析技術，具有豐富的樣本分析實戰經驗，對勒索病毒、挖礦病毒、竊密遠控木馬、銀行木馬、殭屍網絡、APT攻擊類樣本都有深入的分析與研究

心路歷程：從一無所知的安全小白菜，到十幾年安全經驗的老白菜，安全的路還很長，一輩子只做一件事，堅持、專注，專業！