TornadoRevC2

إطار عمل خفيف الوزن ومعياري لما بعد الاستغلال، مخصص لأبحاث الأمن المصرّح بها، وعمليات الفريق الأحمر، واختبار الاختراق. يدير TornadoRevC2 جلسات الأوامر العكسية (reverse shell) وجلسات الأوامر المرتبطة (bind shell) التفاعلية على مضيفات Linux وWindows عبر وحدة تحكم موحّدة للمشغّل، وذلك عبر TCP العادي، وTLS المُصادَق عليه من الخادم، وTLS المُصادَق عليه بشكل متبادل. ويُوسَّع التعامل الأساسي مع الجلسات عبر بنية إضافات (plugins) متعددة المنصات لجرد المضيف، والوعي الظرفي، والمهام التشغيلية.

مهم: يشغّل TornadoRevC2 نموذجَي جلسة متكاملين في العملية نفسها. يعطي معالج الأوامر (shell handler) الأولوية للجلسات التفاعلية الموثوقة، وسير عمل المشغّل المنظّم، وتنفيذ الإضافات عند الطلب. ويضيف النظام الفرعي للبيكون (beacon subsystem) وكيلًا مُصرَّفًا قائمًا على السحب (pull-based) للعمليات الطويلة التي تحتاج إلى جدولة، وتدمير ذاتي، ومرونة شبكية بدلًا من مقبس حيّ. يشترك الاثنان في وحدة تحكم المشغّل، ومواد TLS، والبنية التحتية للتسجيل؛ ولا يحتاج أيٌّ منهما إلى الآخر. راجع النظام الفرعي للبيكون.

---

إشعار قانوني

استخدم هذا البرنامج فقط على الأنظمة التي تملكها أو على الأنظمة التي لديك تفويض كتابي صريح للعمل عليها. أنت وحدك المسؤول عن الامتثال للقوانين المعمول بها والسياسات التنظيمية. لا يتحمّل المؤلفون والمساهمون أي مسؤولية عن سوء الاستخدام، أو فقدان البيانات، أو العواقب القانونية الناشئة عن استخدام هذا المشروع.

---

عرض توضيحي

عرض توضيحي سريع: إدارة الجلسات، تنفيذ الإضافات، والتحويل عبر SOCKS5.

---

جدول المحتويات

• مقدمة
• الميزات الرئيسية
• فلسفة التصميم
• الأمن التشغيلي
• البنية
• المتطلبات والتثبيت
• البدء السريع
• مرجع المشغّل
• الإضافات المدمجة
• النظام الفرعي للبيكون
• تطوير الإضافات
• تسجيل الجلسات
• بنية المشروع
• إعداد TLS وmTLS
• الترخيص

---

مقدمة

TornadoRevC2 هو إطار عمل معياري لما بعد الاستغلال يدعم نموذجَي جلسة في عملية واحدة، يشتركان في وحدة تحكم مشغّل واحدة ومجموعة واحدة من مكوّنات البنية التحتية (مواد شهادات TLS، والملفات الشخصية القابلة للتشكيل (malleable profiles)، وتسجيل الجلسات):

• جلسات الأوامر التفاعلية — الأوامر العكسية (reverse shells) (يتصل الهدف بالمعالج عبر TCP العادي، أو TLS المُصادَق عليه من الخادم، أو TLS المتبادل مع التحقق من شهادة العميل) والأوامر المرتبطة (bind shells) (يتصل المعالج بالهدف، عبر TCP العادي أو TLS). يمكن نقل أيٍّ منهما في وقت التشغيل إلى ناقل ثانوي HTTPS (HTTP/2 أو HTTP/1.1 عبر TLS) أو إلى أنبوب مُسمّى SMB (SMB named pipe) مُستضاف على الهدف، ثم الرجوع عنه باستخدام backtoshell. تُنتج جميع المسارات كائنات جلسة متطابقة وتمر عبر نفس خط أنابيب الفحص، والإضافات، والنقل، وإعداد التقارير.

• جلسات البيكون المُصرَّفة — وكيل Go يُصرَّف تصريفًا متقاطعًا من جهاز المشغّل، دون أي إعداد وقت التشغيل على القرص. يسجّل الوكيل حضوره وفق جدول زمني، ويسترد المهام المُصطفّة، وينفّذها عبر معالجات أصلية داخل العملية أو عبر صدفة (shell)، ثم يعود إلى وضع السكون. تُوقَّع المهام والنتائج بـ ECDSA من الطرف إلى الطرف، والنقل عبر HTTPS مع TLS متبادل اختياري، وكل خاصية سلوكية مضمّنة في وقت البناء.

يوفّر الإطار وحدة تحكم موحّدة للمشغّل لإدارة الجلسات، واستطلاع المضيف، ونقل الملفات المُجزَّأ، وتنفيذ الحمولات في الذاكرة، والتحويل عبر SOCKS5، وما بعد الاستغلال المدفوع بالإضافات، وإعداد التقارير المنظّم، وأمر update مدمج للتحديثات التلقائية القائمة على Git وإعادة تشغيل المعالج بسلاسة. تُنفَّذ قدرات مثل جرد جدار الحماية، وجمع بيانات مخزن الاعتمادات الوصفية، ورسم خرائط الشبكة، وتوصيف المتصفح، وتحليل ثقة نطاق Windows، و وظائف إضافية لما بعد الاستغلال، على شكل 65 إضافة مستقلة ومعيارية. تُنشئ إضافة make_token جلسات C2 جديدة عبر بروتوكولات بعيدة (SSH، WinRM، SMB، WMI، MSSQL، DCOM، وMySQL/MariaDB) من جهة المشغّل؛ وتنقل upgrade_mtls جلسة حيّة إلى مستمع TLS المتبادل عبر دفع حزمة شهادة العميل الخاصة بالمعالج إلى الهدف.

منصات الأهداف المدعومة: Linux وWindows (أساسيًا)، مع توافق مع بيئات Unix وBSD العامة حيث ينطبق ذلك.

---

الميزات الرئيسية