استخدام Sliver C2
صنعنا Beacon بنظام HTTP يكون هو الأساس بالهجوم ومن خلال تجربتنا، الأفضل تحوله إلى .bin باستخدام Donut لتجنب الكشف

‏
🔗 Donut GitHub

إعدادات Donut استخدمنا -e 3 للتشفير و-b 1 لتجنب Amsi

رفع البيلود
فتحنا سيرفر Python بسيط لاستضافة الـ .bin وتحميله لاحقاً من خلال البيلود

CH : @SparkSecurity

تنفيذ الهجوم ورفع الصلاحيات
تشغيل البايلود ب اعتبار الجهاز المستخدم شغل الملف وهنا اتصل الـ Beacon بالسيرفر الخاص بينا
تجاوز الـ UAC استخدمنا ملفات BOF
(Beacon Object Files) لتجاوز حماية User Access Control.
🔗 UAC BOF Bonanza GitHub

رفع الصلاحيات بعد ما تجاوزنا الـ UAC، حصلنا على High-Integrity Shell باستخدام طريقة

CmstpElevatedCOM.

استخراج الـ Credentials بذكاء تجنبنا الـ Lsass لأن التلاعب بـ Lsass يولد إنذارات خطيرة فبدلاً من ذلك

استخدمنا SharpSAMDump لسحب بيانات الـ SAM.
🔗 SharpSAMDump GitHub

استخدمنا Impacket’s secretsdump.py بـ -skip-sam حتى نقلل الإنذارات ونستخرج بيانات الـ NTDS.dit للحصول على بيانات الشبكة.
مفاتيح Kerberos استخرجنا مفاتيح Kerberos لتوليد TGTs باستخدام أدوات مثل
Rubeus أو GetTGT.py

CH : @SparkSecurity

OpenEDR نتيجة
طلع شوية إنذارات بسيطة
مثل "Run Virtually in Containment" لما يشغل فايلات جديدة غير معروفة بساندبوكس "Add File to Application Control"
لما يتم إنشاء فايل جديد

تجنب الإنذارات الكبيرة ما لمسنا عمليات حساسة مثل Lsass وما كتبنا فايلات مشبوهة حتى ما نثير الشكوك بالنسبة للتمويه سمينا البيلود بنفس اسم برامج داخلية معروفة حتى تقل الشكوك وطبعاً هذا الشغل كُلة محاكاة



هاي التجربة التعليمية شنو توضح الك قوة التشفير والتحميل الديناميكي
شلون نستخدم أدوات مثل DInvoke، Donut، وSliver لتجاوز الحماية
أهمية التخفي بالـ OPSEC لتجنب اكتشاف الهجمات النتيجة كدرنا ننفذ دورة حياة الهجوم بالكامل تقريباً بدون إنذارات رئيسية! 🎯

CH : @SparkSecurity