Hermes

Hermes ist ein leichtgewichtiger Linux-Agent, geschrieben in Python, entwickelt für Mythic 3.0 und neuer. Benannt nach Hermes, dem Götterboten – entwickelt für Geschwindigkeit und Diskretion.

Funktionen

• Linux-Unterstützung
• SOCKS5-Proxy-Unterstützung für Pivoting und laterale Bewegung
• Mehrere C2-Profile: HTTP, Notion
• Verschlüsselter Schlüsselaustausch (EKE) mit RSA-4096 + AES-256-CBC + HMAC-SHA256
• AESPSK-Unterstützung (vorab geteilter Schlüssel, kein Schlüsselaustausch erforderlich)
• 24 integrierte Befehle, die Folgendes abdecken:
  • Aufklärung (whoami, ps, netstat, ifconfig, systeminfo, env)
  • Dateioperationen (ls, cat, cp, mv, rm, mkdir, chmod, chown, find, grep)
  • Dateiübertragung (upload, download)
  • Ausführung (shell)
  • Agentensteuerung (sleep, exit, cd)

Installation

1.) Installieren Sie Mythic von hier

2.) Führen Sie vom Mythic-Installationsverzeichnis aus den folgenden Befehl aus:

./mythic-cli install github https://github.com/0xbbuddha/hermes

Unterstützte C2-Profile

HTTP

Hermes kommuniziert über das standardmäßige, von Mythic verwendete HTTP-Profil. Alle Aufgaben und Antworten erfolgen über POST-Anfragen.

Hinweis: Der GET-URI-Parameter wird nicht verwendet – es wird nur POST unterstützt.

Notion

Hermes kann eine Notion-Datenbank als verdeckten C2-Kanal verwenden. Der Agent kommuniziert mit Mythic, indem er Seiten in einer gemeinsamen Notion-Datenbank erstellt und liest, wodurch der Datenverkehr mit legitimen Notion-API-Aufrufen vermischt wird.

Erfordert:

• Ein Notion-Integrationstoken (integration_token)
• Eine gemeinsame Notion-Datenbank-ID (database_id)

Opsec-Überlegungen

Python-Abhängigkeit

Hermes ist ein Python-Agent und erfordert Python 3.8+ auf dem Zielsystem. Dies kann die Erkennungsoberfläche im Vergleich zu einer kompilierten Binärdatei vergrößern.

Build-Formate

Schlafintervall

Das standardmäßige Schlafintervall wirkt sich direkt auf Tarnung und Leistung aus. Ein hohes Schlafintervall reduziert Netzwerkrauschen, verschlechtert jedoch den SOCKS5-Proxy-Durchsatz. Passen Sie es entsprechend Ihren betrieblichen Anforderungen an.

Danksagung

• @0xbbuddha — Autor

Bekannte Probleme

Nur Linux

Hermes ist ausschließlich für Linux-Ziele entwickelt. Windows und macOS werden nicht unterstützt.

SOCKS5-Latenz

Da der SOCKS5-Verkehr durch die HTTP-Polling-Schleife des Agents weitergeleitet wird, ist die Latenz direkt an das Schlafintervall gebunden. Echtzeitprotokolle (z. B. RDP, interaktive Shells) können bei höheren Schlafwerten eine verschlechterte Leistung aufweisen.