lame-projects/stratum-c2إطار عمل C2 من نوع dead-drop سحابي — RSA-4096 + AES-256-GCM، 5 مزوّدي خدمات سحابية، وكلاء Rust فقط، شبكة P2P متداخلة، محرك استمرارية، حصاد بيانات الاعتماد
إطار عمل الاستمرارية السحابية · v3.0.2
موطئ قدم احتياطي يمر عبر بنية تحتية لا يستطيع المدافعون حجبها.
تصمت قناة C2 الأساسية لديك. يُدرج النطاق في القائمة السوداء. تُكتشف إشارة الاتصال (beacon). تقتل EDR العملية. تنقطع عن الهدف.
تحتاج إلى قناة ثانية — قناة لم يكن من الممكن حجبها من الأساس.
ماذا لو بدت حركة الاتصال والتحكم (command-and-control) تمامًا كموظف يزامن ملفاته إلى Dropbox؟
هذا هو Stratum. تنتقل الأوامر والاستجابات كملفات عادية داخل مجلد تخزين سحابي. لا يتصل الوكيل أبدًا بالبنية التحتية للمهاجم. حركة المرور الوحيدة القابلة للملاحظة هي HTTPS إلى مزوّد مُدرج مسبقًا في القائمة البيضاء لجدار الحماية الخاص بالهدف — لأن حجب Dropbox أو OneDrive يعني حجب كل موظف يستخدمه.
لا teamserver. لا نطاق مملوك للمهاجم. لا شهادة TLS مريبة. لا شيء يمكن حجبه.
OPERATOR CLOUD PROVIDER TARGET
──────── ───────────── ──────
/Machine1/
WebGUI ──HTTPS──► input.txt 🔒 ◄── poll ── agent
output.txt 🔒 ──► read ──┘
heartbeat.txt (encrypted beacon)
يستيقظ الوكيل على فاصل زمني قابل للتهيئة (+ تذبذب لوغاريتمي طبيعي)، ويقرأ ملف الإدخال، وينفّذ، ويشفّر الاستجابة، ويرفعها، ثم ينام. كل شيء مشفّر من طرف إلى طرف باستخدام RSA-4096-OAEP + AES-256-GCM. لا يظهر عنوان IP الخاص بالمشغّل أبدًا في أي سجل شبكة على جانب الهدف.
| المزوّد | ملاحظات | |
|---|---|---|
 | Dropbox | رمز تحديث OAuth2 · حسابات الأعمال والحسابات الشخصية |
 | Microsoft OneDrive | Microsoft Graph API · حسابات Personal وM365 |
 | Google Drive | Google Drive API v3 · تدفّق خدمة OAuth2 |
 | SharePoint Online | Microsoft Graph API · مواقع مستأجري M365 |
 | متوافق مع S3 | AWS S3 · DigitalOcean Spaces · Backblaze B2 · أي نقطة نهاية S3 |
تتشارك الخمسة جميعًا في صيغة الإرسال نفسها، وزوج مفاتيح RSA نفسه، وجلسة المشغّل نفسها. بدّل المزوّد في منتصف المهمة خلال دقائق دون المساس بالوكيل. لا يوجد إطار عمل مفتوح المصدر آخر يوفّر هذا جاهزًا للاستخدام.
مركز العمليات الأمنية (SOC) الذي يريد إيقاف C2 يحجب نطاق teamserver أو البنية الأمامية. أما مركز العمليات الأمنية الذي يريد إيقاف Stratum فعليه حجب Dropbox وOneDrive وGoogle Drive وSharePoint وS3 في آنٍ واحد. هذه ليست قاعدة جدار حماية — بل قرار عمل لن تتخذه أي مؤسسة. لا تحاول بنية التسليم الميت (dead-drop) التهرّب من الكشف. بل تعمل على بنية تحتية قرّر المدافع بالفعل الوثوق بها، بشكل دائم.
| الصيغة | المنصّة | التبعيات |
|---|---|---|
.exe / .dll | Windows | لا شيء — PE مُجمّع بـ Rust (MSVC-ABI)، لا مفسّر، لا PowerShell في شجرة العمليات |
.elf | Linux | لا شيء — مُجمّع بـ Rust وثابت musl، يعمل على أي Linux x86_64 |
.bin | Linux / Windows | شيفرة شل x64 PIC — ألقِها في أي محمّل أو حاقن خارجي |
يولّد المعالج جميعها. أنت تجيب على المطالبات؛ وهو يجمّع ويشفّر ويحزم. لا أعلام مُجمّع، ولا متغيّرات بيئة، ولا إدارة يدوية للمفاتيح.
| الوضع | كيف يعمل | الأنسب لـ |
|---|---|---|
| staged-enc | كعب (stub) أدنى على الهدف. عند التشغيل الأول: يجلب مفتاح التمهيد لمرة واحدة من السحابة، ويفكّ تشفير الوكيل الكامل في الذاكرة، ويحذف المفتاح من السحابة. لا تلمس الحمولة القرص أبدًا بنص صريح. | المهام القياسية — أصغر أثر أولي، يُدمَّر المفتاح عند التسليم |
| stageless-enc | وكيل كامل مضمّن في ملف تسليم واحد، مشفّر بمفتاح مضمّن في الكعب. لا حاجة لجلب مفتاح من السحابة بعد التسليم. | الشبكات المعزولة هوائيًا أو المقيّدة — ملف واحد مكتفٍ ذاتيًا |
| stageless-plain | الوكيل بنص صريح. تبقى الأوامر والاستجابات مشفّرة بالكامل أثناء النقل. | المختبرات والبيئات الخاضعة للتحكم |
تتشارك جميع الأوضاع السلوك نفسه بعد التنفيذ: يخزّن الكعب مؤقتًا كتلة مشفّرة ببصمة عتاد محلية، بحيث تُحمَّل التشغيلات اللاحقة من القرص دون المساس بالسحابة.
قبل لمس أي مفتاح تسجيل أو إدخال cron واحد، شغّل /persist probe. يفحص الوكيل كل تقنية متاحة عند مستوى الصلاحيات الحالي ويعيد تقرير جدوى. غير مُدمّر — لا آثار تُترك خلفه.
/persist probe
✓ schtask-logon — feasible (SYSTEM)
✓ registry-run — feasible
✗ schtask-boot — requires elevation
✓ startup-folder — feasible
...
اختر ما يناسبك، ثبّته، وأزله بشكل نظيف عند الانتهاء. تتعقّب واجهة الويب WebGUI كل تقنية مثبّتة لكل جلسة. يقوم /kill بإزالة كل شيء — الاستمرارية، والملف التنفيذي، والقطع السحابية — بأمر واحد.
تاريخ الإيقاف، ونافذة الصيانة، والتذبذب اللوغاريتمي الطبيعي، ومفتاح التمهيد لمرة واحدة — كلها تُضبط مرة واحدة في المعالج وتُدمج في الوكيل بشكل دائم. لا شيء لإدارته أثناء المهمة، ولا شيء يُنسى تنظيفه في النهاية.
Stratum ليس بديلاً عن Cobalt Strike أو Sliver أو Havoc. إنه الطبقة التي تقع تحتها.
Day 1: deploy Stratum alongside your primary C2
Day 4: primary beacon gets flagged, process killed
Day 4: open Stratum session, assess what happened
Day 4: re-introduce primary C2 via Stratum shell
Day 5: back to full access
يتولى C2 الأساسي الخاص بك مهام ما بعد الاستغلال. أما Stratum فيتولى البقاء. إنها القناة التي لم يكن ممكنًا اكتشافها أبدًا لأنها لم تكن تحاول الاختباء قط — فهي تبدو ببساطة مثل Dropbox.
هذا هو النموذج نفسه الذي يستخدمه الجهات الفاعلة في التهديد في البرية كما هو موثق في 2025–2026: TukTuk (Dropbox + Arweave dead-drop)، وNarwhalRAT/APT37 (pCloud)، وCOBALT MIRAGE/Drokbk (GitHub). يجلب Stratum البنية نفسها إلى جانب الفريق الأحمر كإطار عمل حقيقي، وليس كأداة زرع لمرة واحدة.
git clone https://github.com/daniomass/stratum-c2.git
cd stratum-c2
./install.sh --server
تُعدّ الوكلاء المُجمَّعة (.exe، .elf، .dll، .bin، Rust الأصلي) ميزة أساسية في Stratum. يكتشف المعالج الأهداف المتاحة ويستخدمها، ولا يتخطى سوى ما لا يستطيع بناؤه.