https://cyberveille.ch/tags/onedrive-udc2/ Recent content in OneDrive UDC2 on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sun, 20 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-20-onedrive-udc2-un-canal-c2-cobalt-strike-utilisant-onedrive-comme-couche-de-transport/ Sun, 20 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-20-onedrive-udc2-un-canal-c2-cobalt-strike-utilisant-onedrive-comme-couche-de-transport/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 18 septembre 2026 sur GitHub (nmht3t/OneDrive-UDC2), cet article présente un outil offensif permettant d&rsquo;utiliser <strong>Microsoft OneDrive for Business</strong> comme couche de transport pour un canal <strong>User-Defined C2 (UDC2)</strong> de <strong>Cobalt Strike</strong>.</p> <h2 id="-fonctionnement-technique">⚙️ Fonctionnement technique</h2> <p>L&rsquo;outil repose sur l&rsquo;<strong>API Microsoft Graph</strong> avec la permission applicative <code>Files.ReadWrite.All</code> pour lire et écrire des fichiers dans des dossiers OneDrive dédiés. L&rsquo;architecture se compose de :</p> <ul> <li>Un <strong>relay Python</strong> (<code>server/relay.py</code>) qui fait le pont entre OneDrive et le teamserver Cobalt Strike via le protocole UDC2</li> <li>Un <strong>client BOF</strong> (<code>client/bof.o</code>) chargé dans Cobalt Strike comme listener UDC2</li> <li>Deux dossiers OneDrive distincts : un <strong>inbox</strong> (commandes entrantes) et un <strong>outbox</strong> (réponses sortantes)</li> </ul> <h2 id="-prérequis-et-configuration">🛠️ Prérequis et configuration</h2> <p>L&rsquo;opérateur doit disposer de :</p>