ahxr/ghostأداة RAT خفيفة الوزن توفر وصولاً صامتاً لسطر الأوامر عن بُعد، وتنزيل/تنفيذ ملفات مخفي، وآليات استمرارية لأنظمة ويندوز. اتصال C2 مشفّر مع إعادة اتصال تلقائية.
ghost هي أداة RAT خفيفة تمنح الخادم/المهاجم وصولًا كاملًا عن بُعد إلى مفسِّر أوامر سطر الأوامر (cmd.exe) لدى المستخدم. يُسمح لهم بتنفيذ الأوامر بصمت دون أن يلاحظ العميل/الزومبي ذلك. كما تُمنح الخادم/المهاجم القدرة على تنزيل وتنفيذ الملفات على جهاز العميل/الزومبي. وهذه أيضًا عملية صامتة ومخفية. وكما هو الحال في معظم أحصنة طروادة للوصول البعيد، تساعد هذه القدرة على التنزيل والتنفيذ في توزيع الفيروسات وغيرها من البرامج الخبيثة.
يتم توزيع هذا البرنامج الخبيث ببساطة عن طريق تشغيل zombie.exe. يمكن تغيير اسم هذا الملف إلى أي شيء. لا توجد أي قيود. عند تشغيله، يبحث عن أول وسيطين (IP والمنفذ). إذا لم يتم توفير أي منهما، فلن يعمل البرنامج. ومع ذلك، تأكد من توفير عنوان IP والمنفذ الخاصين بالخادم في وسائط سطر الأوامر. مثال:
zombie.exe 127.0.0.1 27015
عند بدء تشغيله بنجاح، يضيف نفسه إلى قائمة بدء التشغيل ويعمل بصمت في الخلفية. سيحاول الاتصال بالخادم بشكل متكرر. لا تستهلك هذه العملية أي ذاكرة أو استخدام لوحدة المعالجة المركزية (CPU). هذا يعني أن الزومبي سيبقى خاملًا بصمت في الخلفية، وكلما كان الخادم متاحًا، سيتصل به تلقائيًا.
عند بدء تشغيل الخادم، سيطلب منك منفذ استماع. هذا هو المنفذ الذي تحتاج إلى استخدامه في سطر الأوامر لـ zombie.exe. بمجرد توفير المنفذ، سيتم عرض معلومات الخادم الخاص بك وستظهر القائمة. عنوان IP المعروض هو عنوان IP الخارجي الخاص بك. ومع ذلك، ما لم يكن العميل/الزومبي يبحث ويتتبع الاتصالات المفتوحة بنشاط، فمن المحتمل أن يكون من الحكمة تشغيل هذا الخادم في موقع بعيد إذا كنت تريد البقاء مجهول الهوية. إذا كان هذا لا يثير اهتمامك، فإن مجرد إعادة تسمية zombie.exe و/أو تغيير معلومات التجميع (assembly) باستخدام أداة سيخدع العميل/الزومبي على الأرجح.
ملاحظة: تم إنشاء هذا المشروع لأغراض تعليمية فقط ولاختبار مستودعاتي المنشورة مؤخرًا (ahxrlogger وahxrsocket). إذا اخترت استخدامه لأسباب خبيثة، فأنت المسؤول تمامًا عن النتيجة.