CobaltStrike二次开发环境准备以及免杀

原创

已于 2022-10-10 17:06:43 修改 · 1w 阅读

CC 4.0 BY-SA版权

文章标签：

于 2022-05-08 01:24:13 首次发布

本文详细描述了如何在Windows环境中反编译CobaltStrike 4.4，从注册Idea、原版下载到反编译、项目配置、暗桩去除、免杀策略，以及重写Stager和Beacon以提高隐蔽性。适合对CobaltStrike安全研究和定制感兴趣的读者。

该文章已生成可运行项目，

前言

原版的CobaltStrike已经被各大杀毒软件给标记了，就算变换profile，stage和beacon也存在着许多特征，所以只能想办法来隐藏和去除，二次编译CobaltStrike就是一个很好的办法。

win7_x64
jdk-11.0.14
Idea.2022.1
CobaltStrike_4.4

Idea嫌麻烦没有整破解，用临时邮箱注册个账号用30天

在这里插入图片描述

找个CobaltStrike_4.4原版，我这里的例子是从k8gege那里下的：

https://github.com/k8gege/Aggressor/releases/tag/cs

别的地方的话，记得对下hash

https://verify.cobaltstrike.com/

然后我们使用IntelliJ IDEA自带的反编译java的工具(用jd-gui会卡死，不懂为什么，Luyten反编译出来挺多报错的，所以还是自带的好)
这个工具位置在:

..\JetBrains\IntelliJ IDEA 2022.1\plugins\java-decompiler\lib

将工具拷贝到如下图:
在这里插入图片描述
cs_bin里面放的是原版cobaltstrike.jar
命令如下:

java -cp java-decompiler.jar org.jetbrains.java.decompiler.main.decompiler.ConsoleDecompiler -dsg=true cs_bin/cobaltstrike.jar cs_src

如果用的是jdk8，会报如下错，没深究过为什么会报错，有知道的朋友可以告诉我
在这里插入图片描述
反编译完成后cs_src是一个jra文件，解压后就是.java

本文章已经生成可运行项目