تحديث سريع لتضمين استغلال Follina (01/06/2022) - NinjaC2 سيقوم بإنشاء المستند وتقديم الحمولة HTML.

مزيد من المعلومات: https://www.linkedin.com/posts/ahmed-khlief-499321a7_i-just-pushed-a-quick-update-to-ninjac2-to-activity-6937661951007170560-Tmps

إصدار Ninja V2.2 (27/03/2022).

ميزة جديدة تتضمن: تحقق من الرابط لمزيد من المعلومات حول الميزات وكيفية استخدام أتمتة AWS EC2:

1. واجهة مستخدم جديدة لبرنامج CnC النصي
2. الآن كل حملة ستتضمن جميع الملفات المتعلقة بالحملة وملف التكوين.
3. برنامج نصي جديد لأتمتة إنشاء مثيل AWS مع تكوين NinjaC2.
4. تحديث برنامج Invoke-Mimikatz powershell إلى أحدث إصدار من Mimikatz.
5. إصلاحات للأخطاء

إصدار Ninja V2.1 (31/07/2021).

تحقق من الميزات الجديدة هنا: https://shells.systems/ninjac2-v2-1-new-webshell-agent-more-features-and-updated-av-bypass/

إصدار Ninja V2.0 (16/04/2021).

تم إعادة بناء Ninja V2.0 لاستخدام python3 مع ميزات جديدة:

1. تشويش متغيرات الحمولة في كل مرة يتم فيها طلب الحمولة لتجاوز برامج مكافحة الفيروسات
2. إنشاء شيل كود باستخدام nasm و donut
3. أمر جديد (migrate) للقيام بهجرة العملية.
4. أمر ثبات جديد باستخدام المهام المجدولة
5. نسخة mimkatz powershell مُجمَّعة مسبقاً
6. حمولات جديدة.
7. برنامج نصي محدث لتجاوز AMSI.

ما هو Ninja؟

Ninja C2 هو خادم C2 مفتوح المصدر تم إنشاؤه بواسطة Purple Team للقيام بجسور stealthy للكمبيوتر و Active Directory دون الكشف بواسطة SIEM و AVs، Ninja لا يزال في مرحلة البيتا وعند إصدار النسخة المستقرة ستحتوي على العديد من التقنيات stealthy ومكافحة التحقيق الجنائي لإنشاء تحدٍ حقيقي للفريق الأزرق للتأكد من أن جميع الدفاعات تم تكوينها بشكل صحيح وأنهم يستطيعون اكتشاف الهجمات المتطورة.

يستخدم Ninja python لتقديم الحمولة والتحكم بالوكلاء. الوكلاء مبنيون على C# و powershell ويمكنهم تجاوز برامج مكافحة الفيروسات الرائدة. يتواصل Ninja مع الوكلاء عبر قناة آمنة مشفرة بـ AES-256 والمفتاح ليس مكتوبًا بشدة ولكن يتم إنشاؤه عشوائيًا عند بدء الحملة، كل وكيل يتصل بـ C2 يحصل على المفتاح وإذا تم إعادة تشغيل C2 فسيتم استخدام مفتاح جديد من قبل جميع الوكلاء القدامى والجدد. يقوم Ninja أيضًا بتوزيع عناوين URL للاستدعاء لكل حملة لتجاوز الكشف الثابت.

1. السمة الرئيسية في Ninja تسمى DA (تحليل الدفاع)، والتي ستقوم بالتعداد المطلوب للحصول على المعلومات الهامة أدناه وتحليلها للحصول على درجة لأنظمة الدفاع واكتشاف الحماية بالصندوق الرمل.
2. كشف حلول SIEM: الآن يكشف SPlUNK، Log beat collector، sysmon.
3. كشف برامج مكافحة الفيروسات بطريقتين: باستخدام أمر powershell وباستخدام العمليات.
4. التحقق مما إذا كان تسجيل powershell مفعّلاً
5. التحقق مما إذا كان المستخدم لديه صلاحيات مدير
6. تقديم معلومات عن النظام: اسم المضيف، نظام التشغيل، رقم الإصدار، الوقت المحلي، المنطقة الزمنية، آخر إقلاع و BIOS.
7. تقديم معلومات عن التحديثات الأمنية المثبتة.
8. تقديم درجة صعوبة اختراق النظام بناءً على عوامل متعددة.
9. تقديم درجة اكتشاف الصندوق الرمل بناءً على (الصلاحيات، مصنع BIOS، الانضمام إلى المجال أو لا، وجود عمليات sysinternals).
10. إظهار جميع مستخدمي المجال (باستخدام أوامر powershell).
11. إظهار جميع مجموعات المجال (باستخدام أوامر powershell).
12. إظهار جميع أجهزة الكمبيوتر الخاصة بالمجال (باستخدام powerview.ps1 - مأخوذة من: https://github.com/PowerShellEmpire/PowerTools/blob/master/PowerView/powerview.ps1).
13. إظهار المشاركات المتاحة.

تم تصميم Ninja ليكون سهل الإعداد ولإضافة المزيد من الأوامر وأتمتة المهام المملة. يمكنك العثور على العديد من الأوامر المختصرة التي يعاني فريق red teamer من حفظها والبحث عنها. يرجى التحقق من هذه المقالة لمعرفة المزيد عن Ninja: https://shells.systems/introducing-ninja-c2-the-c2-built-for-stealth-red-team-operations/

الميزات الرئيسية لـ Ninja

يحتوي Ninja على عدد من الميزات التي تسمح لك بالحصول على نظرة ثاقبة حول مهمتك القادمة قبل أن تحتاج فعليًا إلى نشر ترسانتك الكاملة أو أدواتك وتقنياتك، مثل:

• تحليل الدفاع
• أتمتة هجوم kerberoast من إنشاء تذاكر kerberos إلى استخراج تجزئات SPN إلى تنسيق hashcat.
• أتمتة dc_sync للحصول على تجزئات لقائمة من المستخدمين أو مجموعة مسؤولي المجال.
• أتمتة غير مكتشفة للحصول على المجموعات التي ينتمي إليها المستخدم والمستخدمين الأعضاء في مجموعة.
• أتمتة جمع بيانات Bloodhound AD.
• حمولات C# مخصصة تقوم بتشفير السلاسل لتجاوز الكشف الثابت.
• ترميز أي أمر تريده إلى unicode base64 لاستخدامه في أوامر powershell المشفرة.
• تشفير كامل لجميع الاتصالات بين الوكيل وخادم القيادة والتحكم لتجاوز كشف AV و IPS.
• عناوين URL ديناميكية لجميع الوظائف، فقط ضع قائمة بأسماء عناوين URL وسيستخدمها C2 بشكل عشوائي لتجاوز أي كشف ثابت.
• الحصول على مفتاح تشفير عشوائي أثناء التنقل (غير مكتوب بشدة) في كل مرة يتصل فيها الوكيل (حتى إعادة الاتصال تحتاج إلى مفتاح جديد)
• التقاط لقطات شاشة وإرسالها مشفرة إلى C2
• رفع الملفات من C2 إلى الضحية مشفرة لتجاوز AV و IPS
• تنزيل الملفات من الضحية مشفرة لتجاوز AV و IPS
• حمولات مرحلية لتجاوز الكشف (base64 و base52)
• تجاوز برامج مكافحة الفيروسات (تم اختباره على كاسبرسكي و trendmicro)
• تجاوز كشف SIEM (تم اختباره على جمع سجلات splunk المعتادة إلى جانب سجلات sysmon) غير مختبر على تسجيل كتلة البرنامج النصي والوحدة النمطية لـ powershell v5 (سيتم في الإصدار التالي).
• تعيين فاصل الإشارة ديناميكيًا حتى بعد اتصال الوكيل وتقديم فاصل إشارة بداية في تكوينات بدء الحملة
• تسجيل جميع الأوامر والنتائج من أجل الرجوع إلى أي بيانات فاتتك في عمليتك.
• تعيين التكوين مرة واحدة عند بدء الحملة واستمتع.
• مفتاح إيقاف عام لإنهاء الحملات.
• حذف إدخالات الجدول.
• جميع الحمولات مكتوبة في مجلد الحمولات لسهولة الوصول والتخصيص الإضافي.
• سهولة إضافة أتمتة لأي أمر تريده.

المتطلبات

يرجى ملاحظة أن تجميع C# يعتمد على التجميع System.Management.Automation.dll مع تجزئة SHA1 c669667bb4d7870bc8bb65365d30071eb7fb86fe.

بعض أوامر Ninja تتطلب الوحدات التالية (موجودة بالفعل في الوحدات) والتي تحتاج إلى الحصول على التحديثات من مستودعها:

Invoke-Kerberoast : https://raw.githubusercontent.com/xan7r/kerberoast/master/autokerberoast.ps1

Invoke-Mimikatz : https://github.com/PowerShellMafia/PowerSploit/blob/master/Exfiltration/Invoke-Mimikatz.ps1

Sharphound : https://github.com/BloodHoundAD/BloodHound/blob/master/Ingestors/SharpHound.ps1

PowerView : https://github.com/PowerShellEmpire/PowerTools/blob/master/PowerView/powerview.ps1

التثبيت

أولاً وقبل كل شيء تأكد من تنزيل أحدث إصدار من Ninja باستخدام الأمر التالي:

git clone https://github.com/ahmedkhlief/Ninja/

تحتاج إلى إعداد Ninja عن طريق تشغيل البرنامج النصي install.sh:

chmod +x ./install.sh sudo ./install.sh

بعد ذلك تحتاج إلى تهيئة الحملة:

python3 start_campaign.py

الآن يمكنك بدء خادم Ninja:

python3 Ninja.py

سيتم استقبالك بالتالي عند تشغيله:

            88             88             
            ""             ""                           
                                              88888      8888
8b,dPPYba,  88 8b,dPPYba,  88 ,adPPYYba,    88        88    88
88P'   `"8a 88 88P'   `"8a 88 ""     `Y8    88              88
88       88 88 88       88 88 ,adPPPPP88    88              88
88       88 88 88       88 88 88,    ,88    88            88
88       88 88 88       88 88 `"8bbdP"Y8    88          88  
                          ,88                 88888      888888
                        888P" 		      
					    V2.0


 Ninja C2 | Stealthy Pwn like a Ninja