emp3r0r v4.15.0

emp3r0r

C2 ذاتي الإصلاح يعمل في الذاكرة فقط لأنظمة Linux وWindows — وكلاء ينجون من الروابط المقطوعة، ولا يلمسون القرص أبدًا، ويبرمجون طريقهم عبر Win32 API.

---

ما هو emp3r0r؟

emp3r0r هو إطار عمل لما بعد الاستغلال وC2 مبني لبيئات Linux وWindows حيث لا يكون التخفي والمرونة أمرًا اختياريًا. فبدلًا من افتراض اتصال موثوق يعود إلى خادم واحد، يشكّل الوكلاء شبكة متداخلة ذاتية الإصلاح تستمر في العمل عند انقطاع الروابط. وبدلًا من طلب Python أو PowerShell من الهدف، ينفّذون كل شيء في الذاكرة. وبدلًا من حصرك في حيل منصة واحدة، يشغّل emp3r0r وحدات BOF الخاصة بـ Windows وكائنات Linux وسكربتات Starlark — كلها بلا ملفات، وكلها داخل العملية.

---

أبرز المزايا والخصائص الفريدة

🐍 وكلاء قابلون للبرمجة (محرك Starlark مدمج ووكيل Win32 API)

يحمل كل وكيل محرك البرمجة النصية الخاص به، بحيث يمكنك إضافة منطق جديد لما بعد الاستغلال دون تجميع أو نقل ملفات ثنائية.

• تعمل السكربتات بالكامل في الذاكرة — لا حاجة إلى Python أو Bash أو PowerShell على الهدف، ولا يتم إنشاء أي مفسّرات أوامر.
• تغطي مجموعة كاملة من واجهات API المدمجة عمليات الملفات وHTTP وتنفيذ الأوامر والمزيد، مباشرة من كود السكربت.
• على Windows، يمكن للسكربتات استدعاء دوال Win32 الأصلية مباشرة — حيث يمرّر الوكيل الاستدعاء مباشرة إلى DLLs النظام.
• الوحدات هي ملفات Starlark عادية مع بيان JSON صغير، لذا فإن إضافة وحداتك الخاصة سهلة وبلا ملفات.

لماذا هذا مهم: يصبح كتابة وظائف الوكيل وتوسيعها بسيطًا كتحرير سكربت، دون أي أثر من إسقاط مفسّر أو ملف ثنائي جديد على الهدف.

---

🔐 تثبيت الهوية التشفيرية TOFU

يربط الوكلاء هويتهم بمفتاح تشفيري في أول مرة يتحدثون فيها إليك — وهذا الربط لا يتغير أبدًا.

• تُعامَل إعادة التسجيل ببيانات اعتماد مختلفة كمحتال وتُرفض.
• إزالة وكيل هي قرار صريح من المشغّل، وليست شيئًا يمكن لمفتاح مسروق فعله بهدوء.

لماذا هذا مهم: اختطاف الجلسات واستنساخ الوكلاء لا يحدثان ببساطة؛ فكل وكيل تتحدث إليه هو الوكيل الذي سجّلته.

---

🔒 السرية التامة الأمامية (PFS)

يستخدم كل رابط C2 ورابط نظير مفاتيح ECDH مؤقتة مع مفاتيح تشفير مشتقة من الجلسة.

لماذا هذا مهم: حتى لو تم اختراق مفتاح طويل الأمد لاحقًا، فلا يمكن استخدامه لفك تشفير حركة مرور مرّت بالفعل.

---

🕸️ شبكة P2P Gossip Mesh ذاتية التشغيل

يكتشف الوكلاء بعضهم البعض ويمرّرون حركة المرور عبر شبكة gossip متداخلة، بحيث لا تنهار العملية عند اختفاء رابط واحد أو خادم واحد.

• يتصل النظراء عبر mTLS 1.3 المموّه أو UDP الموثوق (KCP)، مع تشفير كل قفزة.
• تُوجَّه حركة المرور تلقائيًا حول المرحّلات الميتة — دون جراحة يدوية للوكيل في منتصف العملية.
• تظل القطاعات التي لا تملك وصولًا مباشرًا إلى C2 قابلة للوصول عبر جيرانها.

لماذا هذا مهم: الشبكة تقوم بالتحويل نيابة عنك. اقطع رابطًا، أو افقد جهازًا، أو احجب C2 — يعيد الوكلاء التوجيه بأنفسهم.

---

📂 نظام ملفات P2P

تنتقل الملفات بين الوكلاء مباشرة، وليس فقط عبر C2.

• تتم عمليات النقل عبر أنفاق نظير-إلى-نظير مشفّرة، بحيث لا تختنق الشبكات الداخلية بسبب خادمك.
• تُخزَّن الملفات مؤقتًا في ذاكرة الوكيل ككتل مشفّرة وتُقدَّم للنظراء عند الطلب.
• إذا لم يكن لدى أي نظير الملف، يجلبه الوكيل من C2 تلقائيًا.

لماذا هذا مهم: التسليم سريع وغير مرئي تقريبًا لقناة C2 — مثالي للبيئات المقيّدة في الخروج.

---

📡 مستمعو بروتوكولات متعددة وStagers قابلة للتوصيل

يُعامَل إدخال الوكيل بجدية مماثلة لإبقائه حيًّا.

• مستمعو HTTP وTCP وUDP مع تأطير موثوق وملفات تعريف HTTP قابلة للتخصيص.
• stager بحجم يقارب 2KB مبني على استدعاءات نظام Linux المباشرة — بلا libc، وبلا سلسلة أدوات على الهدف.
• ناقلات stager قابلة للتوصيل وحزم ذاتية التفريغ تتيح لك دمج الوصول الأولي في أي قناة يسمح بها هدفك، وإفشال مطابقة التوقيعات الساكنة في الطريق.
• يحترم كود stage والوكيل انضباط القراءة/الكتابة/التنفيذ — لا RWX أبدًا.

لماذا هذا مهم: الوصول الأولي الصغير والقابل للتكيف والنظيف في الذاكرة يعني أنك تستطيع الوصول إلى مضيفات كانت لتبقى بعيدة عن متناولك لولا ذلك.

---

🧩 دعم أصلي متعدد المنصات لـ BOF وPICO (COFF وELF وPICO)

شغّل وحدات C المُجمَّعة داخل العملية على أي من المنصتين:

• ملفات Windows COFF/BOF الثنائية مع تغليف وسائط مكتوب النوع.
• كائنات Linux ELF القابلة للنقل تُحمَّل مباشرة في ذاكرة الوكيل.
• وحدات Crystal-Kit PICO مع تمويه مكدس الاستدعاءات SilentMoonwalk.
• تأتي Kerbeus-BOF وRemote-OPs ومجموعة Situational Awareness جاهزة للاستخدام.

لماذا هذا مهم: وحدات BOF لا تكون جيدة إلا بقدر جودة محمّلها — يشغّلها emp3r0r داخل العملية دون عملية جديدة ودون ترك أي أثر، على Linux وWindows معًا.

---

🧬 محمّل مكتبات في الذاكرة (memmod)

تُربَط المكتبات الأصلية في مساحة عنوان الوكيل نفسه وتُستدعى هناك — بلا LoadLibrary، وبلا dlopen، وبلا وصول أي ملف إلى القرص.

• يحمّل memmod ملفات PE DLL على Windows وELF .so على Linux، ويتعامل مع عمليات النقل والاستيراد واستدعاءات التصدير داخل العملية.
• يبني على أعمال سابقة مثبتة: محمّل PE الخاص بـ memmod من WireGuard، ومحمّل ELF وآلية الاستدعاء من Sliver C2 / sliverarmory/reflektor.
• يقع memdeps فوقه: تُحلّ التبعية المُعلنة من memfs/C2 المشفّر، وتُربَط فقط للعملية التي تحتاجها، وتُفكّ عند العودة.

لماذا هذا مهم: توسيع الوكيل بكود أصلي لا يتطلب ملفًا ثنائيًا جديدًا، ولا خدمة محمّل، ولا ملفًا على القرص.

---

🐧 وحدات Linux وeBPF

وحدات Linux هي سكربتات Starlark يمكنها الوصول إلى النواة مباشرة. يربط الوكيل libbpf عند الطلب ويكشف واجهة API الخاصة به للسكربتات كدوال مدمجة مدعومة بـ Go، بحيث يمكن للوحدة تعداد كائنات eBPF والارتباط بها وتفكيكها دون مترجم ودون عملية فرعية.

• تحاكي الدوال المدمجة libbpf: ebpf_progs وebpf_maps وebpf_links وebpf_detach وebpf_map_wipe وebpf_code_offset، بالإضافة إلى ebpf_uprobe_start/ebpf_uprobe_stop طويلة الأمد.
• ssh_harvest هو المثال العملي: يحدد نمطًا في sshd، ويربط uprobe طويل الأمد، ويبثّ بيانات الاعتماد الملتقطة مباشرة، ويظل قائمًا حتى --disable — بلا ptrace، وبلا نقاط توقف، وبلا قرص.
• libbpf ليس الخيار الوحيد: يتعامل المحمّل نفسه عند الطلب مع أي .so تعلنه الوحدة أو توفّره، ويمكن للسكربتات ربط البايتات مباشرة باستخدام mem_load_library.

لماذا هذا مهم: الحرفية على مستوى النواة تصبح سكربتًا زائد مكتبة يربطها الوكيل فقط عندما يحتاجها، ثم يُسقطها.

---

🔑 رموز Windows وجلسات Netonly وتذاكر Kerberos (PTT)

بمجرد وصولك إلى مضيف Windows، يتيح لك emp3r0r أن تصبح المستخدمين الموجودين عليه — دون إسقاط أي أداة أبدًا.