Nighthawk是一个近年来新兴的C2框架，由英国MSDEC公司开发。其销售受到英国政府Military and dual-use goods出口管制。不同于CobaltStrike遵循的稳定性、灵活性。Nighthawk更具有侵略性，常常会添加最新的检测逃逸技术来绕过现代的安全防护，被称为现在市场上最先进、具有最高级防御规避技术的命令控制框架。

11月底，proofpoint公司发表了一篇文章《Nighthawk-and-coming-pentest-tool-likely-gain-threat-actor-notice》, 提出随着Nighthawk逐渐获得更广泛的认可和威胁行为者寻求新的强大攻击工具的需求，Nighthawk将会出现在一些威胁行为活动中。msdec以对此做出回应。本文并不讨论具有争议的 “没有根据的假设Nighthawk会被恶意威胁者滥用”内容，仅讨论原文中以及msdec发表公开资料中所提及的一些技术，以及这些技术对现代安全防护所造成的巨大挑战。

WinAPI滥用

代码来自于WorkItemLoadLibrary根据Proofpoint披露的Nighthawk分析报告的技术实现。

从发展趋势来看，攻击者对WinAPI的滥用还有扩大趋势，了解现有的攻击技术并不能高枕无忧。

载荷密钥绑定（key-）

为了让载荷的加载过程更加安全可靠，Nighthawk载荷依赖通过与目标本地或远程的资源进行绑定，外壳代码会在载荷加载前使用包括不限于本地用户/域SID、特定用户名、计算机名等多种手段进行解密，或通过请求远程的资源中获取解密Key。

Nighthawk生成载荷时可用作Key绑定的资源：

远程：

Nighthawk的载荷可以在生成时设置Key进行资源绑定，运行时根据环境值或请求内容解密，这会对沙箱自动化分析设备造成致命打击，因为自动分析设备获取到的Nighthawk样本根本不会解密成功，在2022年的攻防比赛中我们也看到使用此类逻辑进行样本保护的技术，沙箱本身的缺陷导致面对这种降维打击无能为力。

• 从DNS TXT和CNAME记录中获取密钥

• HTTP(S)响应中

• 通过HTTPS传输的DNS TXT/CNAME记录中

• SMB共享或命名管道传输的文件中

本地：

• 特定的用户/域SID

• 特定的注册表键值

• 特定的用户名/计算机名

• 特定的硬盘序列号

安全机制绕过

参考

• https://www.mdsec.co.uk/nighthawk/

• https://web.archive.org/web/20221125224850/https://www.proofpoint.com/us/blog/threat-insight/nighthawk-and-coming-pentest-tool-likely-gain-threat-actor-notice

• https://www.mdsec.co.uk/2022/11/nighthawk-with-great-power-comes-great-responsibility/

• https://www.mdsec.co.uk/2022/05/nighthawk-0-2-catch-us-if-you-can/

• https://github.com/aahmad097/AlternativeShellcodeExec

• https://github.com/rad9800/misc/blob/main/bypasses/WorkItemLoadLibrary.c

• https://modexp.wordpress.com/2019/06/03/disable-amsi-wldp-dotnet/