BRC4 后渗透工具集是由Chetan Nayak（Mandiant和Crowdstrike的前红队成员）开发的攻击模拟和后利用工具包，于2020年发布。后利用工具包是一个可定制的命令和控制框架，为用户提供诸如（但不限于）：将shellcode注入进程、执行脚本执行和编写C2通道（如Slack、Microsoft团队）。
许多红队和对手在取得立足点后首先执行的技术动作之一是下载其他工具。许多现代安全工具能够使用无头浏览器（headless browser）之类的工具轻松检测到攻击者。但是，蓝队有时可能会被忽视的一种攻击方法是利用系统上已经存在的现有二进制文件（LOLBins）。该方法最流行工具之一是certutil，它是Windows操作系统上的命令行程序，用作证书服务的一部分。它可用于配置证书服务、验证证书以及更多与证书相关的活动。CertUtil中的一个命令参数——urlcache，可用于执行URL缓存管理操作——攻击者已经意识到他们可以使用该工具来下载恶意文件，但是如何检测呢？
检测恶意certutil活动的一种简单方法是通过CertUtil.exe的“urlcache”参数查找正在启动下载的文件。CertUtil通常不用于从Web下载可执行文件或文件，因此当它从互联网下载文件时应被视为可疑活动。
更多渗透测试相关资料
以下是广告：
等保测评，风险评估，密码测评，渗透测试，软件测试，培训考证，CISP和PTE联系利刃信安！
原文始发于微信公众号（利刃信安）：【重磅】BRC4 后渗透工具集首次泄露，附地址！
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论