如何启用CobaltStrike隐藏的Sleep_mask功能

Sleep_mask()功能作用

CobaltStrike信标运行期间会执行Sleep()函数，为了防止进程被检测会在Sleep()之前使用亦或算法加密内存中代码，Sleep()结束之后再使用亦或算法解密出内存中代码；CobaltStrike信标大部分时间处于Sleep()中，进程中代码加密后就会难于检测。Sleep_mask函数的缩略图如下图所示：

即使CobaltStrike信标的内存代码被加密，依旧可以通过检测内存中的Sleep_mask函数来检测CobaltStrike信标的存在：

如何启用Sleep_mask()功能

CobaltStrike的Sleep_mask()功能是个可选项，默认情况下是不启用的，如果要启用需要在开启teamserver的时候指定配置文件(…….profile),如下图所示：