KittyStager

KittyStager هي أداة C2 من المرحلة 0 تتكوّن من API و عميل و برمجية خبيثة. تكون واجهة الـ API مسؤولة عن تسليم المهام الأساسية و شيل كود ليتم حقنه في الذاكرة بواسطة البرمجية الخبيثة. يتصل العميل أيضًا بالـ API و يسمح بالتفاعل مع البرمجية الخبيثة عن طريق إنشاء المهام. الهدف من KittyStager هو نشر حمولة من المرحلة 0 على النظام المستهدف وجمع معلومات كافية لتكييف الحمولة مع الهدف المحدد. نظرًا لأن حمولة المرحلة 0 تهدف إلى أقصى درجات التخفي، فإنها لا تتضمن أي قدرات على تنفيذ الأوامر.

هذا المشروع مصمم للأغراض التعليمية فقط. لست مسؤولاً عن أي ضرر يسببه هذا المشروع.

الميزات

• واجهة سطر أوامر بسيطة للتفاعل مع الشبيحة
• API :
  • خادم ويب لاستضافة قططك
  • HTTPS
  • ملفاتك الموجودة في /upload متاحة عبر /upload
• الاستطلاع :
  • اسم المضيف، النطاق، معرف العملية، IP...
  • حلول AV أو EDR باستخدام WMI
  • قائمة العمليات
• التشفير :
  • تبادل المفاتيح باستخدام Opaque
  • تشفير Chacha20
• قدرات البرمجية الخبيثة :
  • حقن خيط (Create Thread Injection)
  • BananaPhone (متغير من Hell's Gate)
  • Halo's Gate
  • تصحيح ETW (ETW Patching)
  • إسبات مع تشويش (Sleep with Jitter)
  • إزالة الثنائي من القرص
• صندوق الرمل (Sandbox) :
  • التحقق من حجم الذاكرة
  • التحقق من موقع ويب غير موجود
• الحمولة :
  • شيل كود خام
  • شيل كود سداسي عشري (Hex)
• البناء :
  • توليد القطة من ملف الإعدادات
  • ترجمة القطة باستخدام Go و Garble
  • توقيع القطة بشهادة منسوخة
  • توليد الوصف

يمكن تغيير بعض الإعدادات في ملف config

بداية سريعة

1. استنساخ المستودع

git clone https://github.com/Enelg52/KittyStager.git
cd KittyStager 

2. ملف الإعدادات

قم بتحرير ملف الإعدادات config.yaml:

• تحقق من ip/port
• HTTPS/HTTP
• وقت الإسبات

HTTPS

كيفية إنشاء شهادة لـ https باستخدام openssl

$ openssl req  -new  -newkey rsa:2048  -nodes  -keyout localhost.key  -out localhost.csr
$ openssl  x509  -req  -days 365  -in localhost.csr  -signkey localhost.key  -out localhost.crt

3. البناء

بناء الخادم :

cd server
go build

بناء العميل :

cd client
go build

يجب أن يكون الخادم قيد التشغيل :

cd kitten/basicKitten
env GOOS=windows GOARCH=amd64 go build -o basicKitten.exe

ثم ابدأ الخادم والعميل وقم بتشغيل القطة على الهدف.

الاستخدام

بدء الخادم :

 ./server -h
Usage of server:
  -p string
        Path to the config file (default "config.yaml")

سيتصل العميل بـ 127.0.0.1:1337. إذا لم تكن على الخادم، فستحتاج إلى استخدام نفق SSH.

./client

قائمة القطط

الحصول على السجلات

عرض الإعدادات

التفاعل مع قطة

الحصول على المهام

حقن الشيل كود

تغيير وقت الإسبات

الحصول على قائمة العمليات

الحصول على AV/EDR باستخدام WMI

الحصول على الصلاحيات ومستوى التكامل

الحصول على معلومات القطة

قتل القطة

إزالة القطة من القرص

قطة مخصصة

يمكنك تخصيص كود القطة من ملف الإعدادات.

# البرمجية الخبيثة
# طريقة الحقن : createThread, banana, halo
injection: createThread
# نوع المخرجات : dll, exe
execType: exe
# التعمية : true, false
obfuscation: false

جزء الترجمة والتعمية لم يُطبق بعد. ترجمة exe :

cd output
env GOOS=windows GOARCH=amd64 go build -o kitten.exe

ترجمة dll : تحتاج إلى تغيير execType في config.yaml

cd output
 env GOOS=windows GOARCH=amd64 CGO_ENABLED=1 CC="x86_64-w64-mingw32-gcc" go build -o basickitten.dll -buildmode=c-shared kitten.go

الهيكل

ينقسم المشروع إلى 3 أجزاء :

• العميل
• الخادم
• القطة

جزء التشفير، القطة، الإعدادات، وهياكل المهام موجودة في internal.

المساهمة

نرحب بطلبات السحب (Pull Requests). لا تتردد في فتح مشكلة (issue) إذا كنت تريد إضافة ميزات أخرى.

التواصل

Enelg#9993 على ديسكورد

الاعتمادات

• https://github.com/C-Sto/BananaPhone
• https://github.com/timwhitez/Doge-Gabh
• https://github.com/c-bata/go-prompt
• https://gist.github.com/leoloobeek/c726719d25d7e7953d4121bd93dd2ed3
• https://github.com/BishopFox/sliver/
• https://github.com/alinz/crypto.go/blob/main/chacha20.go
• https://github.com/frekui/opaque
• ... وغيرهم الكثير