Distributed and Team Operations (Dağıtık ve Ekip Operasyonları)
Red team operasyonuyla ile ilgili herhangi bir çaba sarf edildiğinde bunu coordineli ve görevleri ekipte dağıtık bir şekilde yapmak çok önemlidir.Cobalt strike’ı sadece bir bilgisayara değil birden fazla host’a bırakıp takım arkadaşlarımızın bu serverlara bağlanmasını sağlayabiliriz.
Team server’a bağlandığımızda:
-> Paylaşılmış bir event log ile iletişim kurabiliriz.Yukarıdaki image’mizde bağlantı gerçekleştirdiğimiz cobaltuser has joined kısmında diğer ekip arkadaşlarımızda team server’a geldiyse eğer Event Log kısmında chat sistemi gibi sohbet edebiliriz.
-> Target’lardan indirilmiş dosyaları , capture edilmiş dataları bulabiliriz.
Cobalt Strike ile birden fazla team server’a bağlanmak için;
Cobalt Strike -> New Connection
kısmına gidilir ve yeni bir bağlantı oluşturulur.Örnek yapmak amaçlı diğer team serverimizi private localimizde portunu değiştirerek ayağa kaldıralım.
Hemen yapalım bir örnek:
1.Team Server -> 192.168.1.2
Team server kuruludur. Parolası dotnetguard (DotnetGuard Phishing team serverimiz olduğunu varsayalım)
2.Team Server -> 192.168.136.2 (dotnetguardPostExploit team serveri olsun)
Şimdi aşağıda görüldüğü üzere , dediğimiz gibi
New Connection ile biz bağlanırız ve 2.servera da yukarıda verilen ip adresinden bağlantı gerçekleştiririz.
Bağlantıyı gerçekleştirdikten sonra bütün her şey sol alta gelecektir. Bizim hangi Command and Control sunucularına bağlantıyı gerçekleştirdiğimiz, hangilerinin aktif olduğu sol altta görülecektir. İsterseniz sağ tıklayıp ismini de değiştirebilirsiniz.
Gördüğünüz üzere 2. team serverımıza da bağlandık.
Şimdi çıkış yapmayı deneyelim. (Disconnect’e tıklayarak)
Tekrar giriş yapmak için yine New Connection ile bağlanılabilir.Artık Close ile bu serveri kapatıyorum.
Artık close dersek bu server otomatikman bizden de kapatılacaktır.
Reconnect derseniz tekrardan bir bağlantı gerçekleşecektir.