BeaconSMB

Descripción#

BeaconSMB es un listener de tipo interno (bind) que utiliza named pipes de Windows para la comunicación. El agente crea un named pipe en el sistema objetivo y otro agente (pivote) se conecta a él a través del protocolo SMB.

Características#

Caso de uso#

BeaconSMB es especialmente útil en entornos de Active Directory donde:

• El tráfico SMB (puerto 445) es habitual y no genera alertas
• Los sistemas internos no tienen acceso directo a Internet
• Named pipes ofrecen mayor discreción que sockets TCP

Internet          Servidor AD            Estación de trabajo

[C2] ◄──HTTP──► [Agente A] ──SMB──► [Agente B (\\.\pipe\nombre)]
                (BeaconHTTP)         (BeaconSMB)

Configuración#

Crear un listener BeaconSMB#

1. Abre el panel de Listeners en JustClient
2. Haz clic en Create Listener
3. Selecciona BeaconSMB
4. Configura el nombre del pipe

Parámetros#

Flujo de comunicación#

1. El agente Beacon SMB se ejecuta en el objetivo Windows
2. Crea un named pipe: \\.\pipe\msagent_47
3. Desde un agente pivote activo, se inicia un link SMB
4. El pivote se conecta al pipe via SMB (puerto 445)
5. Comunicación encapsulada: C2 ↔ Pivote (HTTP) ↔ Agente (SMB)

Ventajas sobre TCP#

• El tráfico SMB es esperado en redes Windows/AD
• No requiere abrir puertos adicionales (usa el 445 existente)
• Named pipes son más difíciles de detectar que sockets TCP
• Mayor integración con los mecanismos de autenticación de Windows

Consideraciones#

• Solo funciona en Windows
• Requiere que el servicio SMB esté activo (por defecto en Windows)
• El nombre del pipe debe ser único en el sistema objetivo
• Usa nombres de pipe que se mezclen con los del sistema (por ejemplo, msagent_XX, spoolsv_XX)
• Algunos EDRs monitorizan la creación de named pipes — elige nombres que no estén en listas de IOCs conocidos