探照灯BeaconEye：您的CobaltStrike猎手与监控利器

探照灯BeaconEye：您的CobaltStrike猎手与监控利器

去发现同类优质开源项目:https://gitcode.com/

BeaconEye 是一款强大的工具，专为检测和监控运行中的CobaltStrike信标而设计。它能深入剖析进程，寻找潜在的恶意活动，并在发现信标时跟踪其通信行为。这款工具由安全专家@EthicalChaos 创建，旨在提供对系统安全状况的深刻洞察。

项目技术分析

BeaconEye采用实时扫描和迷你转储文件分析两种模式。在实时模式下，它可以附加到目标进程中，作为调试器监测信标的通信行为，目前支持HTTP/HTTPS信标。它动态解码用于加密C2数据和可塑性配置文件的AES密钥，从而使提取并解密命令输出变得可能。

关键特性包括：

• 每个进程的日志记录: 每个被监视的进程都有一个单独的日志文件夹，记录所有相关活动。
• 信标配置信息导出: 能够捕获并显示信标的关键配置信息。
• 命令输出展示: 显示大多数信标命令的输出结果。
• 独立和注入信标的检测: 不论信标如何隐藏，都能被有效地识别出来。
• 睡眠掩码检测: 即使信标使用了内置的sleep_mask进行伪装，也能检测到。
• 离线分析: 可以通过分析迷你转储文件来检查过去的行为。

应用场景

BeaconEye适用于多个网络安全场景，包括但不限于：

1. 企业安全防御: 在企业网络环境中，可以定期运行BeaconEye以查找任何可疑的CobaltStrike信标活动，保护重要数据不受攻击。
2. 威胁狩猎: 对于威胁猎手来说，BeaconEye是追踪和理解复杂攻击链的理想工具。
3. 取证调查: 在处理事件响应或法证分析时，从迷你转储文件中搜索信标痕迹能提供关键线索。

项目特点

• 高度可定制: 用户可以选择只针对特定名称的进程进行扫描，并自定义日志输出位置。
• 广泛支持: 支持CobaltStrike 4.x版本，尽管仍然处于测试阶段，但已经能够检测各种类型的信标。
• 持续改进: 开发者计划添加对32位信标、命名管道和TCP信标的支持，以及增加CobaltStrike 3.x兼容性。

在使用BeaconEye时，请注意，虽然功能强大，但它仍然被视为阿尔法版本，可能存在不完善之处。如果您遇到无法检测的4.x信标或解析错误的情况，欢迎提供反馈以帮助改进。

结语

无论是为了提升您的安全防护，还是增强威胁检测能力，BeaconEye都是一款值得尝试的开源工具。立即加入社区，探索其潜力，共同抵御CobaltStrike等高级威胁的侵袭！

GitHub仓库链接

去发现同类优质开源项目:https://gitcode.com/