jm33-m0/emp3r0rشبكة Gossip Mesh ذاتية الإصلاح لـ C2 مع اكتشاف الأقران المساعد، وتنفيذ BOF عبر الأنظمة الأساسية، وعوامل قابلة للبرمجة النصية.
C2 ذاتي الإصلاح يعمل في الذاكرة فقط لأنظمة Linux وWindows — وكلاء ينجون من الروابط المكسورة، ولا يلمسون القرص أبدًا، ويبرمجون طريقهم عبر Win32 API.
emp3r0r هو إطار عمل لما بعد الاستغلال وC2 مبني لبيئات Linux وWindows حيث لا يكون التخفي والمرونة أمرًا اختياريًا. فبدلًا من افتراض اتصال موثوق بسيرفر واحد، يشكّل الوكلاء شبكة ذاتية الإصلاح تستمر في العمل عند انقطاع الروابط. وبدلًا من طلب Python أو PowerShell من الهدف، ينفّذون كل شيء في الذاكرة. وبدلًا من حصرك في حيل منصة واحدة، يشغّل emp3r0r وحدات BOF الخاصة بـ Windows، وكائنات Linux، وسكربتات Starlark — كلها بلا ملفات، وكلها داخل العملية.
يحمل كل وكيل محرك البرمجة الخاص به، بحيث يمكنك إضافة منطق جديد لما بعد الاستغلال دون تجميع أو إرسال ملفات ثنائية.
لماذا هذا مهم: يصبح كتابة وتوسيع وظائف الوكيل ببساطة تحرير سكربت، دون أي أثر لإسقاط مفسّر أو ملف ثنائي جديد على الهدف.
يربط الوكلاء هويتهم بمفتاح تشفيري في أول مرة يتحدثون فيها معك — وهذا الربط لا يتغير أبدًا.
لماذا هذا مهم: اختطاف الجلسات واستنساخ الوكلاء لا يحدثان ببساطة؛ فكل وكيل تتحدث معه هو الوكيل الذي سجّلته.
يستخدم كل رابط C2 ورابط نظير مفاتيح ECDH مؤقتة مع مفاتيح تشفير مشتقة من الجلسة.
لماذا هذا مهم: حتى لو تم اختراق مفتاح طويل الأمد لاحقًا، فلا يمكن استخدامه لفك تشفير حركة المرور التي مرّت بالفعل.
يكتشف الوكلاء بعضهم البعض ويمرّرون حركة المرور عبر شبكة gossip، بحيث لا تنهار العملية عند اختفاء رابط أو سيرفر واحد.
لماذا هذا مهم: الشبكة تقوم بالتحويل نيابة عنك. اقطع رابطًا، أو افقد جهازًا، أو احجب C2 — يعيد الوكلاء التوجيه بأنفسهم.
تنتقل الملفات بين الوكلاء مباشرة، وليس فقط عبر C2.
لماذا هذا مهم: التسليم سريع وغير مرئي تقريبًا لقناة C2 — مثالي للبيئات المقيّدة في الخروج.
يُعامَل إدخال الوكيل بجدية مثل إبقائه حيًّا.
لماذا هذا مهم: وصول أولي صغير وقابل للتكيف ونظيف من ناحية الذاكرة يعني أنك تستطيع الوصول إلى أجهزة كانت ستكون خارج المتناول لولا ذلك.
شغّل وحدات C المُجمَّعة داخل العملية على أي من المنصتين:
لماذا هذا مهم: وحدات BOF لا تكون جيدة إلا بقدر محمّلها — يشغّلها emp3r0r داخل العملية دون عملية جديدة ودون ترك أي أثر، على Linux وWindows معًا.
بمجرد وصولك إلى جهاز Windows، يتيح لك emp3r0r أن تصبح المستخدمين الموجودين عليه — دون إسقاط أي أداة على الإطلاق.
--user الخاص بالوحدة: تحتفظ بهوية وكيلك الخاصة وتستعير هوية المستخدم الهدف فقط للوصول الصادر — أي كلمة مرور تعمل، ولا يتم التحقق من أي شيء أبدًا.--ticket لتمرير التذكرة الكامل: تصبح هويتك الشبكية هي هوية التذكرة (مثلًا، Domain Admin) بينما لا تتغير هويتك المحلية أبدًا.--token و--user و--ticket، لذا فإن تبديل الهوية يبعد علمًا واحدًا — بما في ذلك إنشاء جلسة وتحميل تذكرة في أمر واحد.لماذا هذا مهم: تصبح الحركة الجانبية إلى أجهزة لا تشغّل أي وكيل على الإطلاق — مشاركات SMB، والتحكم بالخدمات، وCIFS — جزءًا طبيعيًا من سير عملك، مُصادَقًا عليه كمستخدم استعرته، وليس كأداة على القرص.
حوّل دون إحراق وكيل آخر: يشغّل C2 وكيل SOCKS5 يمرّر عبر الوكيل الذي تختاره، ويمكن لجانب المشغّل أن يخطو خطوة أبعد باستخدام جهاز TUN شفاف.
socks_start 1080 نقطة نهاية SOCKS5 على C2 تنفق عبر الوكيل المختار — وجّه proxychains أو أي أداة إليها وستكون داخل شبكة الهدف.tun2socks start --route 10.10.0.0/24 جهاز TUN يوجّه فقط الشبكات الفرعية التي تسميها عبر ذلك الوكيل — بينما يستمر كل شيء آخر في استخدام اتصالك العادي.لماذا هذا مهم: اوصل إلى شبكات كاملة على جانب الوكيل بشفافية — استخدم curl على DC، أو استخدم أي أداة — مع خروج يبدو وكأنه قادم من شبكة الهدف، وليس من جهاز المشغّل.
لماذا هذا مهم: قناة C2 مصممة لتبدو كحركة مرور عادية وتبقى خفيفة على الشبكة.
لماذا هذا مهم: حتى القرص يُعامَل كعدو — لا يبقي الوكيل أي آثار نصية صريحة يمكن العثور عليها.