Revenant

Revenant ist ein Drittanbieter-Agent für Havoc, geschrieben in C und basierend auf Talon. Dieses Implantat soll das Talon-Implantat erweitern, indem es verdeckte Ausführungsmethoden, robuste Fähigkeiten und mehr Anpassungsmöglichkeiten implementiert.

Einrichtung

Dieses Projekt zielt darauf ab, ein eigenständiges Havoc-C2-Implantat zu sein. Die angestrebte Endbenutzer-Funktionalität ist wie folgt:

***HINWEIS*** Ab August 2023 hat Havoc 0.6 die Unterstützung für Drittanbieter-Agenten unterbrochen. @C5pider beabsichtigt, die Funktionalität in einem zukünftigen Release zurückzubringen, aber verwenden Sie vorerst Havoc 0.5, verfügbar hier: https://github.com/0xTriboulet/Havoc_0.5

HAVOC (DEV) WURDE GEPATCHT, UM DRITTANBIETER-AGENTEN ZU UNTERSTÜTZEN: https://github.com/HavocFramework/Havoc/tree/dev

1. Repository herunterladen
2. Revenant.zip entpacken
3. pip install black
4. Havoc starten (./havoc server --profile ./profiles/havoc.yaotl -v --debug & ./havoc client )
5. Zum Hauptordner wechseln
6. python Revenant.py
7. ???
8. PROFIT

x86- und Win-7-Kompatibilität:

• NativeAPI deaktivieren

Hinweis: Revenant verwendet NtCreateUserProcess, um die NativeAPI-Funktionalität bereitzustellen. NtCreateUserProcess wird von x86 oder Win 7 nicht unterstützt.

Befehle

• pwsh - führt Befehle über powershell.exe aus -> pwsh ls
• shell - führt Befehle über cmd.exe aus -> shell dir
• download - lädt Datei in den Loot-Ordner herunter -> download C:\test.txt
• upload - lädt Datei in den gewünschten Ordner hoch -> upload /home/test.txt C:\temp\test.txt
• exit - beendet das aktuelle Implantat -> exit

Optionen

• Sleep - Schlafdauer in Sekunden festlegen
• Polymorphic - Polymorphismus zur Build- und Laufzeit aktivieren/deaktivieren
• Obfuscation - Zeichenketten mit XOR verschleiern
• Arch - x86/x64
• Native - NativeAPI verwenden, wo implementiert
• AntiDbg - Antidebug-Prüfungen bei der Initialisierung nutzen
• RandCmdIDs - Befehls-IDs randomisieren
• Unhooking - GhostFart/Perun's Fart-Methode zum Unhooking, zur Ausführung des Befehls und zum anschließenden erneuten Hooking

Hinweis: RandCmdIDs randomisiert die CmdIDs in der erzeugten ausführbaren Datei. Revenant speichert diese zufälligen CmdIDs NICHT; diese funktionieren nur mit der aktiven Sitzung. Wenn Sie eine wiederverwendbare ausführbare Datei möchten, aktivieren Sie diese Option NICHT.

TODO:

• exec-assembly hinzufügen
• cd-, ls- und whoami-Befehle hinzufügen
• Entropie verringern