Revenant

Revenant هو وكيل طرف ثالث لـ Havoc مكتوب بلغة C، ومبني على Talon. يهدف هذا الإمبلانت إلى التوسع في إمبلانت Talon من خلال تنفيذ طرق تنفيذ خفية، وقدرات قوية، والمزيد من التخصيص.

الإعداد

يهدف هذا المشروع إلى أن يكون إمبلانت Havoc C2 قائمًا بذاته. وظيفة المستخدم النهائي المستهدفة هي كما يلي:

***ملاحظة*** اعتبارًا من أغسطس 2023، عطّل Havoc 0.6 دعم وكلاء الطرف الثالث. يعتزم @C5pider إعادة هذه الوظيفة في إصدار مستقبلي، ولكن في الوقت الحالي استخدم Havoc 0.5 المتاح هنا: https://github.com/0xTriboulet/Havoc_0.5

تم تحديث HAVOC (DEV) لدعم وكلاء الطرف الثالث: https://github.com/HavocFramework/Havoc/tree/dev

1. نزّل المستودع
2. فك ضغط Revenant.zip
3. pip install black
4. شغّل Havoc (./havoc server --profile ./profiles/havoc.yaotl -v --debug & ./havoc client )
5. انتقل إلى المجلد الجذر
6. python Revenant.py
7. ???
8. الربح

توافق x86 و Win 7:

• تعطيل NativeAPI

ملاحظة: يستخدم Revenant دالة NtCreateUserProcess لتوفير وظيفة NativeAPI. NtCreateUserProcess غير مدعوم على x86 أو Win 7

الأوامر

• pwsh - ينفّذ الأوامر عبر powershell.exe -> pwsh ls
• shell - ينفّذ الأوامر عبر cmd.exe -> shell dir
• download - ينزّل ملفًا إلى مجلد الغنائم -> download C:\test.txt
• upload - يرفع ملفًا إلى المجلد المطلوب -> upload /home/test.txt C:\temp\test.txt
• exit - يُنهي الإمبلانت الحالي -> exit

الخيارات

• Sleep - ضبط مدة النوم بالثواني
• Polymorphic - تفعيل/تعطيل تعدد الأشكال في وقت البناء ووقت التشغيل
• Obfuscation - تعتيم السلاسل النصية باستخدام XOR
• Arch - x86/x64
• Native - استخدام NativeAPI حيثما تم تنفيذه
• AntiDbg - استخدام فحوصات مكافحة التصحيح عند التهيئة
• RandCmdIDs - جعل معرّفات الأوامر عشوائية
• Unhooking - طريقة GhostFart/Perun's Fart لفك الربط وتنفيذ الأمر ثم إعادة الربط

ملاحظة: يقوم RandCmdIDs بجعل CmdIDs في الملف التنفيذي الناتج عشوائيةً. Revenant لا يخزّن هذه CmdIDs العشوائية؛ وستعمل فقط مع الجلسة النشطة. إذا كنت تريد ملفًا تنفيذيًا قابلاً لإعادة الاستخدام، لا تفعّل هذا الخيار.

المهام المتبقية:

• إضافة exec-assembly
• إضافة أوامر cd و ls و whoami
• تقليل الإنتروبيا