Fawkes هو وكيل Mythic C2 بلغة Golang كُتب حصريًا بواسطة الذكاء الاصطناعي.
Fawkes هو وكيل Mythic C2 تمت برمجته بالكامل عبر الأوامر الصوتية (vibe-coded). بدأ كـ"أتساءل" وتحول إلى هدف. هدفي هو ألا أكتب سطرًا واحدًا من الكود لهذا الوكيل، بل أنتجه حصريًا من خلال موجه (prompt).
في البداية حاولت كتابة الوكيل بنفسي، ولكن بعد استنساخ الحاوية النموذجية، وقراءة توثيق Mythic، ومشاهدة فيديوهات سلسلة التطوير على يوتيوب، ونسخ الكود من وكلاء آخرين مثل Merlin أو Freyja، قررت أنه ليس لدي وقت لتطوير وكيل خاص بي. لكن الموجّه (prompt) – هذا هو ما أملك وقتًا له.
Fawkes هو وكيل مبني على لغة Go مع إمكانيات عبر المنصات. يدعم Windows (حمولات EXE وDLL وshellcode)، وLinux (ملفات ELF ثنائية ومكتبات مشتركة)، وmacOS (ملفات Mach-O ثنائية لـ Intel وApple Silicon). إجمالي 213 أمرًا: 113 عبر المنصات، 82 مخصصة لـ Windows فقط، 21 لـ Unix فقط، 11 لـ Linux فقط، و6 لـ macOS فقط (بعض الأوامر لها تطبيقات خاصة بالمنصة تشترك في اسم واحد مواجه للمستخدم، مثل screenshot). يدعم الخروج عبر HTTP والربط من نظير إلى نظير (P2P) عبر TCP للتنقل الداخلي.
لتثبيت Fawkes، ستحتاج إلى تثبيت Mythic على جهاز بعيد. يمكنك العثور على تعليمات التثبيت لـ Mythic في صفحة مشروع Mythic.
من دليل تثبيت Mythic:``` ./mythic-cli install github https://github.com/galoryber/fawkes
## مرجع سريع للأوامرالأمر | الصيغة | الوصف
------- | ------ | -----------
acl-edit | `acl-edit -action read -server dc01 -target user` | قراءة/تعديل قوائم التحكم في الوصول (DACLs) للكائنات في Active Directory (إضافة/إزالة ACEs، منح DCSync، GenericAll، النسخ الاحتياطي/الاستعادة). عبر المنصات (T1222.001, T1098, T1003.006).
adcs | `adcs -action <cas\|templates\|find\|request\|auto-exploit> -server <DC> -username <user@domain> -password <pass> [-ca_name <CA>] [-template <name>] [-alt_name <UPN>]` | تعداد خدمات شهادات Active Directory، البحث عن قوالب ضعيفة (ESC1-ESC4، ESC6 عبر DCOM)، طلب الشهادات عبر DCOM لاستغلال ESC1/ESC6، أو الاستغلال التلقائي (بحث ← تحليل ← سلسلة طلب). عبر المنصات (T1649).
ads | `ads -action <write\|read\|list\|delete> -file <path> [-stream <name>] [-data <content>] [-hex true]` | **(Windows فقط)** إدارة تدفقات البيانات البديلة (ADS) لـ NTFS — كتابة، قراءة، سرد، أو حذف تدفقات البيانات المخفية. يدعم النص ورموز الترميز السداسية الثنائية. MITRE T1564.004.
amcache | `amcache -action <query\|search\|delete\|clear> [-name <pattern>] [-count <n>]` | الاستعلام وتنظيف آثار الطب الشرعي الخاصة بالتنفيذ. Windows: Shimcache. Linux: recently-used.xbel، الصور المصغرة، Tracker. macOS: العناصر الحديثة، KnowledgeC، الحجر الصحي (T1070.004).
apc-injection | `apc-injection [-method <apc\|hwbp>] -pid <PID> [-tid <TID>] [-target_api ntdll!NtDelayExecution] [-timeout_ms 30000]` | **(Windows فقط)** حقن العملية عن بُعد. `-method apc` (الافتراضي) يقوم بإدراج الشيل كود عبر NtQueueApcThread في خيط قابل للتنبيه (استخدم `ts` للعثور على واحد). `-method hwbp` يرفق عبر DebugActiveProcess، ويضبط نقطة توقف أجهزة DR0 على API مستهدف (افتراضي `ntdll!NtDelayExecution`)، ويعيد توجيه Rip إلى الشيل كود عند إطلاق نقطة التوقف — لا حاجة إلى TID، لا قائمة APC، لا CreateRemoteThread (T1055.004, T1055).
audio-capture | `audio-capture [-duration 10] [-sample_rate 16000] [-channels 1] [-device default]` | تسجيل الصوت من الميكروفون ورفع ملف WAV. Windows (waveIn)، Linux (arecord/parecord)، macOS (rec/ffmpeg). عبر المنصات (T1123).
auditpol | `auditpol -action <query\|disable\|enable\|stealth> [-category <name\|all>]` | **(Windows فقط)** الاستعلام وتعديل سياسات تدقيق Windows. تعطيل تسجيل أحداث الأمان قبل العمليات الحساسة. الوضع المخفي يعطل الفئات الفرعية الهامة للكشف. يستخدم واجهة AuditQuerySystemPolicy API (T1562.002).
argue | `argue -command "cmd.exe /c whoami" -spoof "cmd.exe /c echo hello"` | **(Windows فقط)** تنفيذ أمر مع وسيطات عملية مزيفة. يتجاوز Sysmon Event ID 1 وقياس عن بُعد سطر أوامر EDR (T1564.010).
arp | `arp [-ip <subnet>]` or `arp -action spoof -target <IP> -gateway <IP>` | عرض جدول ARP مع التصفية، أو تسميم ذاكرة التخزين المؤقت ARP لتحديد المواقع MITM (T1557.002). التزوير: Linux فقط، يستعيد عند التنظيف.
asrep-roast | `asrep-roast -server <DC> -username <user@domain> -password <pass> [-account <target>]` | طلب تذاكر AS-REP للحسابات التي لا تتطلب المصادقة المسبقة واستخراج التجزئات بتنسيق hashcat للتكسير دون اتصال. التعداد التلقائي عبر LDAP. عبر المنصات (T1558.004).
av-detect | `av-detect [-deep true]` | كشف برامج الحماية من الفيروسات/EDR/الأمان المثبتة من خلال فحص العمليات الجارية مقابل قاعدة بيانات تضم أكثر من 130 توقيع. مع `--deep`، يتحقق أيضًا من وحدات النواة، ووحدات systemd، وأدلة التكوين بحثًا عن المنتجات المثبتة ولكن غير العاملة (Linux). يبلغ عن المنتج، البائع، النوع، و PID. عبر المنصات.
autopatch | `autopatch <dll_name> <function_name> <num_bytes>` | **(Windows فقط)** تصحيح دالة تلقائيًا بالقفز إلى أقرب تعليمة إرجاع (C3). مفيد لتجاوزات AMSI/ETW.
base64 | `base64 -action <encode\|decode\|xor\|hex\|hex-decode\|rot13\|url\|url-decode\|caesar> -input <data> [-key <key>] [-shift <N>] [-file true] [-output <path>]` | مجموعة أدوات ترميز البيانات: base64، XOR (بمفتاح نصي/سداسي)، hex، ROT13، ترميز URL بنسبة مئوية، تشفير قيصر. جميعها تدعم إدخال/إخراج الملفات. عبر المنصات (T1132.001, T1140, T1027).
bits | `bits -action <list\|create\|persist\|cancel\|suspend\|resume\|complete> [-name <job>] [-url <URL>] [-path <local>] [-command <exe>]` | **(Windows فقط)** إدارة وظائف نقل BITS للثبات وتنزيل الملفات بشكل خفي. إنشاء، تعليق، استئناف، إكمال الوظائف وتعيين أوامر الإشعار للثبات. تبقى الوظائف بعد إعادة التشغيل (T1197).
browser | `browser [-action <passwords\|cookies\|history\|autofill\|bookmarks\|downloads>] [-browser <all\|chrome\|edge\|chromium\|firefox>]` | حصاد بيانات المتصفح من Chromium و Firefox و Safari. التاريخ، الملء التلقائي، الإشارات المرجعية، التنزيلات عبر المنصات. كلمات المرور: Chromium (DPAPI/Keychain/GNOME Keyring)، Firefox (فك تشفير key4.db NSS)، Safari (Keychain macOS). ملفات تعريف الارتباط Firefox على جميع المنصات. MITRE T1555.003, T1217.
cat | `cat <file>` or `cat -path <file> -start N -end N -number true` | عرض محتويات الملف مع نطاق أسطر اختياري، ترقيم، وحماية من الحجم 5 ميجابايت.
cd | `cd <directory>` | تغيير دليل العمل الحالي.
chmod | `chmod -path <file> -mode <permissions> [-recursive true]` | تعديل أذونات الملف/الدليل بتدوين ثماني (755، 644) أو رمزي (+x، u+rw، go-w). دعم تكراري. عبر المنصات (T1222).
chown | `chown -path <file> -owner <user> [-group <group>] [-recursive true]` | **(لينكس/macOS فقط)** تغيير ملكية الملف/الدليل بواسطة اسم المستخدم/UID واسم المجموعة/GID. دعم تكراري (T1222).
cert-check | `cert-check -host <hostname> [-port 443] [-timeout 10]` | فحص شهادات TLS على المضيفين البعيدين — تحديد CAs، الشهادات الموقعة ذاتيًا، تاريخ الانتهاء، SANs، إصدار TLS، مجموعات التشفير، وبصمات SHA256. عبر المنصات (T1590.001).
certstore | `certstore -action <list\|find> [-store <MY\|ROOT\|CA\|Trust\|TrustedPeople>] [-filter <substring>]` | **(Windows فقط)** تعداد مخازن شهادات Windows للعثور على شهادات توقيع التعليمات البرمجية، شهادات مصادقة العميل، والمفاتيح الخاصة. يبحث في CurrentUser و LocalMachine. MITRE T1552.004, T1649.
clipboard | `clipboard -action <read\|write\|monitor\|dump\|stop> [-data "text"] [-interval 3]` | قراءة/كتابة الحافظة أو المراقبة المستمرة للتغييرات مع كشف أنماط بيانات الاعتماد. عبر المنصات (T1115).
cloud-metadata | `cloud-metadata -action <detect\|creds\|storage\|aws-iam\|azure-graph\|gcp-iam\|aws-s3\|azure-blob\|gcp-gcs\|aws-persist\|azure-persist\|aws-ssm\|azure-keyvault\|gcp-secrets\|...> [-provider <auto\|aws\|azure\|gcp\|do>]` | بيانات وصفية سحابية، استخراج بيانات الاعتماد، تعداد IAM، تعداد التخزين، الثبات، والوصول إلى مخازن الأسرار. storage/aws-s3/azure-blob/gcp-gcs: تعداد المجموعات/الحاويات مع كائنات نموذجية. aws-ssm: مخزن معلمات SSM مع فك التشفير. azure-keyvault: أسرار Key Vault عبر الهوية المدارة. gcp-secrets: مدير الأسرار عبر حساب الخدمة. aws-persist/azure-persist: إنشاء مفاتيح وصول/تسجيلات تطبيق طويلة الأمد. الكشف التلقائي. IMDSv2. عبر المنصات (T1552.005, T1580, T1530, T1098.001).