如何使用BeaconEye监控CobaltStrike的Beacon

 

关于BeaconEye

BeaconEye是一款针对CobaltStrike的安全工具，该工具可以扫描正在运行的主动CobaltStrike Beacon。当BeaconEye扫描到了正在运行Beacon的进程之后，BeaconEye将会监控每一个进程以查看C2活动。

工作机制

BeaconEye将会扫描活动进程或MiniDump文件，以尝试检测CobaltStrike Beacon。在活动进程模式下，CobaltStrike Beacon可以将其以调试器的身份与目标进程绑定，监控Beacon活动以识别C2流量（当前版本的BeaconEye支持HTTP/HTTPS Beacon）。

用于加密C2数据和mallable配置文件的AES密钥会被动态解码，这将允许BeaconEye能够在操作人员发送命令时提取和解密Beacon的输出。

每个进程都会创建一个活动日志文件夹，该文件夹与执行BeaconEye的当前目录对应。

功能介绍

每个进程一个日志文件夹；

导出Beacon配置；

显示大多数Beacon命令的输出；

保存屏幕截图；

检测单独的和注入的Beacon；

检测使用内