新增杀软对抗 | 最新CobaltStrike后渗透信息收集插件1.2发布！

现在只对常读和星标的公众号才展示大图推送，建议大家能把星落安全团队“设为星标”，否则可能就看不到了啦！

2025年星落安全着重于CobaltStrike的二次开发，即6月份发布CobaltStrike支持Linux上线星落安全专版后

相关链接：

7月份发布CobaltStrike后渗透信息收集插件1.2版本，新增杀软对抗模块，覆盖日常的后渗透需求，全部采用bof形式运行，内存加载，线程执行，运行程序不会触发360核晶告警(不执行敏感行为)。CobaltStrike的execute-assembly命令虽然也可以内存加载执行C，但是采用了fork&run形式，也就是大家口中的傀儡进程注入，会创建新进程，从而360核晶会弹窗警告。

获取方式：一键禁用defender、cobaltstrike4.9.1 linux专版、免杀加载器以及其他发布的工具都放在了内部星球里。

插件截图

1. 使用的是xlanyloader1.5最新版本加载器，加载由sgn混淆后的stagerless bin文件，即可绕过defender上线CobaltStrike。

相关连接：

2. 加载星落免杀专属的XlExpKit插件即可，图形化点击即可。

相关连接：

一键关闭defender

传统DLL加载方式需要对抗静态检测（Defender会主动上传样本进行云分析，导致免杀时效性大幅降低）。而通过CobaltStrike的BOF功能重构方案后：

1. 将DefendNot改造为反射式DLL
2. 基于ReflectiveDLLInjection实现BOF化最终达成：✓ 纯内存执行（零文件落地）✓ 图形化一键操作（CS客户端集成）✓ 完全规避Defender的静态/行为检测

相关视频

一键开启defender