Cheshire

ضمان جودة الحمولة قبل الإطلاق لـ Adaptix، مدعوم من LitterBox.

Cheshire هو إضافة خدمة (service plugin) لنظام Adaptix C2 تعمل كجسر بين عميل Adaptix وبيئة الاختبار المعزولة LitterBox. من داخل واجهة Adaptix، يمكن للمشغّل اختيار أي ملف ثنائي وإرساله عبر سلسلة المحللات الكاملة في LitterBox (Static + Dynamic + كل ملف تعريف EDR يمكن الوصول إليه)، ومشاهدة الحكم وهو يظهر دون مغادرة Adaptix إطلاقًا.

يتبع الاسم سلالة تمائم المشروع:

• Adaptix → الحرباء
• LitterBox → القط العابس
• الجسر بينهما → Cheshire (القط الذي يبتسم، ويظهر ويختفي تدريجيًا، ويخبرك ما إذا كان الطريق أمامك آمنًا).

ماذا يفعل

يستخدم استقصاء المرحلة 2 لـ EDR الإيقاع التكيفي الخاص بـ LitterBox (أساسه ثانيتان، تراجع ×1.5 حتى 15 ثانية عندما يكون عدد التنبيهات مستقرًا، وعودة فورية إلى ثانيتين عند حدوث تغيير). كل نبضة استقصاء تدفّق حدث progress إلى العميل، بحيث يمكن لشريط التقدم المباشر إظهار أعداد التنبيهات وهي تتزايد في الوقت الفعلي.

هيكل الملفات

Cheshire/
├── README.md
├── setup_cheshire.sh                       deploy script
└── cheshire_service/
    ├── config.yaml                         service plugin manifest + litterbox_url
    ├── go.mod / go.sum
    ├── Makefile                            builds dist/service_cheshire.so
    ├── pl_main.go                          Go service plugin (HTTP client to LitterBox)
    └── ax_config.axs                       AXScript UI (the dashboard dialog)

إضافة Go هي مرحّل HTTP عديم الحالة بين TsServiceSendDataClient الخاص بـ Adaptix وواجهة REST API الخاصة بـ LitterBox. يتولى ملف AXScript كل العرض — لافتة الحكم، ملخص الاكتشاف، تبويبات فرعية لكل ماسح، جدول تنبيهات EDR مع النقر لعرض التفاصيل.

الإعداد

1. تشغيل LitterBox

يتطلب Cheshire وجود نسخة LitterBox قيد التشغيل (راجع مستودع LitterBox للتثبيت). تحقق من إمكانية الوصول:

curl http://<litterbox-host>:1337/health

2. إعداد Cheshire

عدّل cheshire_service/config.yaml واضبط litterbox_url:

extender_type: "service"
extender_file: "service_cheshire.so"
ax_file: "ax_config.axs"

service_name: "cheshire"
service_config: |
  litterbox_url: "http://192.168.88.128:1337"

إذا كان litterbox_url مفقودًا، تُحمَّل الإضافة لكن كل أمر من أوامر المشغّل يعيد "Cheshire is not configured: set litterbox_url in service_config". لا يوجد إعداد افتراضي احتياطي.

3. النشر

bash setup_cheshire.sh --ax /path/to/AdaptixC2

يقوم هذا بـ:

1. نسخ المصدر إلى AdaptixC2/AdaptixServer/extenders/cheshire_service/.
2. إضافة ./extenders/cheshire_service إلى مساحة عمل Go.
3. بناء service_cheshire.so عبر Makefile.
4. نسخ ملف .so المبنى + config.yaml + ax_config.axs إلى AdaptixC2/dist/extenders/cheshire_service/.

4. التسجيل لدى خادم Adaptix

أضف سطرًا إلى AdaptixC2/dist/profile.yaml تحت Teamserver.extenders:

extenders:
  - "extenders/cheshire_service/config.yaml"
  ...

5. إعادة تشغيل الخادم

pkill -f adaptixserver
cd AdaptixC2/dist
./adaptixserver -profile profile.yaml

يجب أن ترى [cheshire] Initialized — LitterBox at http://... في سجل الخادم، متبوعًا بـ [+] Service 'cheshire' loaded.

في شريط قوائم عميل Adaptix، يفتح Cheshire → Test with Cheshire لوحة التحكم.

لوحة التحكم

┌─ Payload ───────────────────────────────────────────────────────────────┐
│  [Browse...]  /home/op/payloads/beacon.exe                              │
├─ EDR Profiles ──────────────────────────────────────────────────────────┤
│  ☑ Elastic Defend   ● reachable     elastic · WIN-VM01 · nightcity      │
│  ☐ Fibratus         ● not reachable fibratus                            │
├─ Dynamic Analysis Args ─────────────────────────────────────────────────┤
│  --quiet -p 4444                                                        │
├─────────────────────────────────────────────────────────────────────────┤
│  [Run All] | [Static] [Dynamic] [EDR] | [Cleanup]    Uploaded: ...      │
├─────────────────────────────────────────────────────────────────────────┤
│  🚫 DETECTED — 5 hit(s) across 2 Static, 1 Dynamic [CRITICAL]           │
│                                              ✓ Static  ✓ Dynamic  🔄 elastic (2) │
├─ Detection Summary ─────────────────────────────────────────────────────┤
│  Severity  | Scanner             | Detection         | Detail           │
│  CRITICAL  | Static · CheckPlz   | Trojan:Win64/...  | offset 0x20EF    │
│  CRITICAL  | Static · YARA       | mimikatz_strings  | matched $sek...  │
│  HIGH      | Dynamic · PE-Sieve  | 3 modifications   | 3 IAT hooks      │
│  ...                                                                    │
├─ Static | Dynamic | EDR ────────────────────────────────────────────────┤
│  per-scanner sub-tabs with stat strip + bordered finding cards          │
└─────────────────────────────────────────────────────────────────────────┘

الحكم والنطاق

• ⏳ RUNNING — N hit(s) so far بينما لا يزال أي ماسح مجدول قيد التنفيذ.
• 🚫 DETECTED — N hit(s) across X Static, Y Dynamic, Z EDR [maxSev] بمجرد وصول كل ماسح مجدول إلى حالة نهائية.
• ✓ CLEAN — 0 critical/high/medium detections فقط إذا لم تكن هناك إصابات حقيقية في أي ماسح. تُذكر الإشارات المعلوماتية (LOW/INFO) بشكل منفصل، وليس في العنوان الرئيسي.
• يُلحق (Static only) / (Dynamic + EDR) وما شابه ذلك عندما يشغّل المشغّل ماسحًا فرديًا بدلًا من Run All — إذ يعكس الحكم بأمانة ما نُفّذ فعلًا.

ملخص الاكتشاف

يجمع كل اكتشاف عبر كل ماسح في جدول واحد قابل للفرز. تُستخرج الصفوف من JSON الفعلي الذي يعيده LitterBox (وليس من سلاسل عوامل عامة):

• قواعد YARA / YARA-mem مع مستوى الخطورة + اسم التهديد + معرّف أول سلسلة مطابقة
• CheckPlz initial_threat + scan_results.detection_offset
• إحصاءات الفئات الخطرة من Stringnalyzer
• PE-Sieve total_suspicious + إحصاءات لكل مؤشر
• إحصاءات الشذوذ غير الصفرية total_* من Moneta (Private RWX → CRITICAL، إلخ.)
• Patriot لكل نتيجة: level + type + أول 120 حرفًا من details
• HSB لكل نتيجة: مستوى الخطورة + النوع + معرف الخيط
• أحداث RedEdr Defender المصفّاة حسب category === 'threat'
• تنبيهات EDR: القاعدة + مستوى الخطورة + العملية + ملخص API

مرتبة حسب مستوى الخطورة تنازليًا، ثم حسب اسم الماسح.

التنظيف التلقائي

عند إغلاق الحوار، يُمسح md5 الخاص بالعيّنة الحالية من LitterBox عبر DELETE /file/<md5>. لا تتراكم عيّنات قديمة بين المهام.

البنية المعمارية

Adaptix Client (Qt) ──┐
                      │ AXScript service_command("cheshire", "run_all", {...})
                      ▼
Adaptix Server  ──→  service_cheshire.so  ──HTTP──→  LitterBox  ──→  EDR VM
  │                                                       │              │
  │                    streams progress events        Static / Dynamic   │
  │                    + results back via             scanners run on    │
  │                    TsServiceSendDataClient        the LitterBox host │
  ▼                                                       │              │
Adaptix Client renders verdict, detection summary,        │     EDR profile
progress strip, per-scanner detail panels.                ▼     dispatches
                                                  /analyze/edr/<P>/<md5>
                                                  Phase 1: exec on EDR VM
                                                  Phase 2: poll Elastic
                                                          for alerts

تشغّل إضافة خدمة Go إرسال كل ماسح في goroutine خاص به، لذا يصدر Run All أوامر Static + Dynamic + (POST واحد لكل ملف تعريف EDR) جميعها بالتوازي. تتحدّث لوحة تحكم AXScript لحظيًا بينما يدفق كل goroutine أحداث progress والنتائج إلى العميل.

الترخيص

يتبع Cheshire اصطلاحات LitterBox / Adaptix. راجع تراخيص المشاريع الأصلية للتفاصيل.