Lockjaw - إطار عمل C2 متقدم لنظام Windows (الإصدار 0.2.15)

Lockjaw هو إطار عمل متقدم ومعياري للقيادة والتحكم (C2) مصمم لعمليات الفريق الأحمر، ومحاكاة الخصوم، والعمليات الخفية. يستخدم بنية حديثة مقسمة اللغات: خادم فريق Rust عالي التزامن مقترنًا مع برنامج زرع Zig خفي وخالٍ من التبعيات ومراحل تحميل (stagers) من كود مستقل عن الموضع (PIC) بلغة التجميع الصرفة.

هذا برنامج في مرحلة ألفا استخدمه على مسؤوليتك الخاصة. لم يتم اختبار جميع الميزات، ولم تتم مراجعة الكود. هناك أخطاء وقد لا تعمل بعض الأوامر.

تم اختبار ما يلي:

• اتصالات خادم الفريق والعميل
• برنامج زرع EXE
• أوامر الوكيل للاستطلاع
• حقن العمليات

لم يتم اختبار دعم BOF.

---

نظرة عامة على البنية

                      +------------------------------------+
                      |       Operator CLI (Python)        |
                      |   Async TUI / Prompt-Toolkit       |
                      +-----------------+------------------+
                                        | HTTPS / REST API (Port 50051)
                                        v
                      +------------------------------------+
                      |       Lockjaw Teamserver           |
                      |          (Rust / Tokio)            |
                      |  - SQLite Storage (SQLx)           |
                      |  - Dynamic Zig Cross-Compiler      |
                      |  - Multi-Transport Listener Manager|
                      +--------+------------------+--------+
                               |                  |
                    HTTPS / HTTP                  DNS (UDP 53)
                    (WinHTTP)                     (Hickory DNS / Base32)
                               |                  |
                               v                  v
                      +------------------------------------+
                      |       Lockjaw Implant (Zig)        |
                      |  - Indirect Syscalls (Halo's Gate) |
                      |  - Reflective & PoolParty Injection|
                      |  - In-Memory BOF Execution Engine  |
                      |  - Ghost AMSI Bypass (HWBP + VEH)  |
                      |  - IAT-Clean Dynamic API Resolv.   |
                      |  - RC4-Encrypted Communications    |
                      +------------------------------------+

• خادم الفريق (Rust): مبني على Tokio و Axum مع Rustls. يدير تسجيلات دخول الوكلاء، وإرسال المهام، ودورات حياة المستمعين، واستمرارية SQLite. يدمج خط أنابيب ترجمة متقاطعة للحمولات عند الطلب بالاستفادة من Zig و GNU objcopy.
• برنامج الزرع (Zig و Assembly): مترجم تقاطعيًا بشكل أصلي لاستهداف x86_64-windows. مستقل، بدون تبعيات خارجية لوقت تشغيل C، يعمل في النظام الفرعي .Windows (بدون واجهة، بدون نافذة وحدة تحكم).
• مراحل التحميل (PIC Assembly و PowerShell): مرحلة تحميل تجميعية x64 محصّنة ومستقلة عن الموضع (pic_stager.s) ببنية مكدس آمنة، والحفاظ على الفضاء الظلي، واجتياز PEB الديناميكي، إلى جانب مراحل تحميل PowerShell خفيفة للتنزيل.
• واجهة سطر أوامر المشغل (Python 3): واجهة TUI غير متزامنة مبنية على prompt_toolkit تتميز بتنبيهات تسجيل الدخول في الوقت الفعلي، والفهرسة الرقمية، ومطابقة البادئة، وإدارة السياق، ومزامنة رفع/تنزيل الملفات التلقائية.

---

القدرات والميزات الأساسية

1. التهرب ومكافحة التحليل

• استدعاءات النظام غير المباشرة (Hell's Gate + Halo's Gate):
  • يستخرج ديناميكيًا أرقام خدمة النظام (SSNs) مباشرة من ntdll.dll في الذاكرة باستخدام تجزئة DJB2.
  • يستعيد استدعاءات النظام المخترقة عبر مسح الجيران في Halo's Gate (حتى 32 خانة أعلى وأسفل).
  • يقفز مباشرة إلى أدوات syscall; ret الشرعية الموجودة داخل قسم .text في ntdll.dll، متجنبًا خطافات API في وضع المستخدم، وفحص مكدس الاستدعاء، وفحوصات أصل عنوان الإرجاع.
• تجاوز AMSI "الشبحي" (HWBP + VEH):
  • مُحيّد AMSI في الذاكرة باستخدام نقاط التوقف العتادية (DR0/DR7) ومعالجة الاستثناءات الموجهة (AddVectoredExceptionHandler).
  • يُطلق استثناءً داخليًا (0xDEADBEEF) لتكوين سجلات التصحيح على AmsiScanBuffer.
  • يلتقط EXCEPTION_SINGLE_STEP، ويصفّر RAX (AMSI_RESULT_CLEAN = 0)، ويعيد التنفيذ بنظافة إلى المستدعي.
  • يعدّل صفر بايت من ذاكرة .text ويتجنب نواقل كشف SetThreadContext.
• 100% نظيف من IAT وحل API الديناميكي:
  • صفر استيرادات ثابتة لواجهات Win32/NT API الحساسة.
  • يحل الوحدات عبر التنقل في PEB (InLoadOrderModuleList) ويحل عناوين الدوال ديناميكيًا عبر تجزئة حساسة لحالة الأحرف وقت الترجمة (djb2) وغير حساسة لحالة الأحرف (djb2_i).
• اتصالات مشفرة:
  • تشفير تدفق RC4 المتماثل عبر جميع اتصالات الوكيل-خادم الفريق (تسجيلات الدخول، المهام، النتائج).
  • تعريف وكيل فريد مشتق من PID و TID واسم الجهاز عبر مولد التطابق الخطي (LCG).
• بصمة خفية:
  • يعمل كتطبيق واجهة رسومية للنظام الفرعي .Windows.
  • يخفي نوافذ وحدة التحكم عبر ShowWindow(hWnd, SW_HIDE).
  • نوم منارة قابل للتكوين مع خوارزميات اهتزاز عشوائية.
  • تجاوز تلقائي لأخطاء شهادة SSL (SECURITY_IGNORE_ALL_CERT_ERRORS) مما يتيح الاستخدام العملي مع شهادات TLS ذاتية التوقيع وتوجيه النطاق.
• التدمير الذاتي:
  • يغلق عملية الوكيل ويُطلق أمر تنظيف غير متزامن منفصل (ping 127.0.0.1 -n 3 > nul & del /f /q ...) لمحو الملف التنفيذي بأمان من القرص.

2. ترحيل العمليات والحقن

• تعيين يدوي انعكاسي مباشر (migrate <pid> reflective):
  • يعيّن يدويًا صورة الملف التنفيذي للوكيل في عملية هدف بعيدة باستخدام أقسام ذاكرة مشتركة مزدوجة التعيين (NtCreateSection + NtMapViewOfSection معيّنة RW محليًا و RWX عن بُعد).
  • يتجنب تخصيصات الذاكرة الافتراضية البعيدة المشبوهة (NtAllocateVirtualMemory / NtWriteVirtualMemory).
  • ينفذ نسخ رؤوس PE المحلية، وتعيين الأقسام، وإصلاحات دلتا إعادة تحديد الموضع الأساسية، وحل جدول الاستيراد مباشرة داخل الذاكرة المشتركة قبل بدء تنفيذ الخيط البعيد عبر استدعاءات النظام غير المباشرة NtCreateThreadEx.
  • تحقق مدمج من البنية للحماية من عدم تطابق الحقن 32-بت (WOW64).
• حقن PoolParty الانعكاسي (migrate <pid> reflective_poolstomp):
  • يجمع بين تعيين الأقسام الانعكاسي وحقن العمليات المتقدم PoolParty.
  • يعدّد مقابض العمليات البعيدة عبر NtQuerySystemInformation لاكتشاف مصانع عمال تجمع الخيوط الموجودة (TpWorkerFactory).
  • يستعلم عن WorkerFactoryBasicInformation، ويستبدل StartRoutine الخاص بالمصنع بترامبولين تنفيذ، ويُطلق تنفيذ الوكيل عبر زيادة WorkerFactoryThreadMinimum عبر NtSetInformationWorkerFactory.
  • صفر إنشاء خيوط جديدة: يتجنب تمامًا القياس عن بُعد والتنبيهات المرتكزة على CreateRemoteThread / NtCreateThreadEx (مثل Sysmon Event ID 8، ومزودي استخبارات التهديدات ETW).

3. التنفيذ في الذاكرة: ملفات كائنات المنارة (BOF)

• محمّل COFF مدمج يدعم ملفات كائن AMD64.
• معالجة داخلية كاملة لإعادة تحديد الموضع (IMAGE_REL_AMD64_ADDR64، IMAGE_REL_AMD64_ADDR32، IMAGE_REL_AMD64_ADDR32NB، IMAGE_REL_AMD64_REL32).
• يحل التبعيات الديناميكية الخارجية باستخدام الاصطلاح القياسي __imp__<DLL>$<Function>.
• ينفذ دوال توافق Beacon API:
  • تحليل الوسائط: BeaconDataParse، BeaconDataInt، BeaconDataShort، BeaconDataLength، BeaconDataExtract.
  • تنسيق الإخراج: BeaconFormatAlloc، BeaconFormatReset، BeaconFormatFree، BeaconFormatAppend، BeaconFormatPrintf، BeaconFormatToString، BeaconFormatInt.
  • إخراج التنفيذ والتشخيص: BeaconOutput، BeaconPrintf، BeaconIsAdmin.

4. النقل ومحرك المستمعين المتعددين

• HTTP / HTTPS:
  • مستمع ويب عالي الأداء مدعوم بـ Axum و Rustls.
  • نقل عميل قائم على WinHTTP مع الكشف التلقائي عن الوكيل، ومهلات قابلة للتكوين، ودعم توجيه النطاق عبر رأس Host المخصص.
  • توليد تلقائي لشهادة ذاتية التوقيع عند بدء التشغيل.
• نفق DNS السري:
  • تنفيذ مستمع DNS أصلي يدعم استعلامات TXT الموثوقة.
  • تنقل استعلامات العميل حمولات تسجيل الدخول والنتائج المشفرة بـ RC4 والمشفرة بـ Base32 عبر النطاقات الفرعية (<base32>.<domain>).
  • يسلّم خادم الفريق المهام داخل سجلات استجابة DNS TXT.
• دعم المستمعين المتعددين الديناميكي:
  • ابدأ وأوقف وافحص مستمعي HTTP و HTTPS و DNS المتعددين ديناميكيًا في وقت التشغيل دون إعادة تشغيل خادم الفريق.