Beacon Object File (BOF)

Définition

Les Beacon Object Files (BOF) sont de petits programmes en langage C compilés comme objets relocatables (fichiers .o) qui s'exécutent directement dans le processus du Beacon de Cobalt Strike sans nécessiter de chargement de module supplémentaire. Ils permettent d'étendre les capacités du Beacon avec des fonctionnalités personnalisées de manière légère et discrète. L'avantage principal des BOF par rapport aux méthodes traditionnelles d'extension (injection de DLL, exécution de processus enfants) : ils s'exécutent dans l'espace mémoire existant du Beacon, ne créent pas de nouveaux processus visibles, ne chargent pas de nouvelles DLLs dans le processus (évitant les détections basées sur les modules inattendus), et peuvent être transmis comme de simples fichiers binaires via le C2 existant. Les BOF utilisent des fonctions d'API déclarées comme externes et résolues dynamiquement par le Beacon via son mécanisme interne. Des macros comme WINBASEAPI permettent d'utiliser les fonctions Windows standard. Les BOF doivent être position-independent (pas d'adresses absolues), complets en un seul objet (pas de librairies), et respecter les contraintes du runtime Beacon. Des projets de BOF open source couvrent de nombreuses fonctionnalités offensives : TrustedSec BOF Collection (reconnaissance AD, manipulation de tokens, credential access), BOF.NET (exécuter des assemblies .NET depuis un BOF), kdstab (stabiliser des kernel drivers pour l'accès au kernel), et des BOF implémentant des techniques spécifiques (DPAPI decryption, LSA secrets dump, COM object manipulation) sans charger de nouveaux processus. D'autres frameworks C2 (Sliver, Havoc) ont adopté le concept BOF sous différentes appellations (Extensions, Modules), reconnaissant l'élégance du modèle d'extension légère in-process.