Достаем конфиги CrossC2

CrossC2 — это beacon Cobalt Strike под Unix-системы. Инструмент был замечен в ряде атак и периодически используется злоумышленниками во вредоносных кампаниях.

Сгенерированные beacon'ы обычно «накрыты» UPX и обфусцированы с помощью LLVM. К концу файла прикреплен оверлей, который начинается с сигнатуры HOOK — это зашифрованный конфиг, и в таком виде он имеет следующую структуру:

struct config_encrypted {
  DWORD magic; // HOOK
  DWORD firstPartDataSize
  BYTE firstPartData[firstPartDataSize];
  DWORD secondPartMagic; // 08 FB 80 8F
  DWORD secondPartDataSize;
  BYTE secondPartData[secondPartDataSize];
};

В качестве алгоритма шифрования используется AES-128 CBC. Интересной особенностью данного фреймворка является тот факт, что для шифрования конфига всех бинарей используется один и тот же ключ и IV.

Подробнее читайте в нашей новой статье в блоге!