gopher47

Ein Gopher-Assassine von Drittanbietern für das Havoc Framework

_{ist wie das Videospiel :D}

Was ist das? 🤔

Dies ist ein Agent von Drittanbietern für das Havoc C2, geschrieben in Golang, hauptsächlich als Lernprojekt, aber ich bin sicher, es ist trotzdem nützlich.

Wenn das hier draußen ist, kannst du mehr darüber lesen, was und warum das ist, in meinem Blog: hier

Beiträge sind willkommen! Ich habe nicht vor, das allzu regelmäßig zu aktualisieren, aber wenn mir das Erstellen Spaß macht, füge ich im Laufe der Zeit vielleicht mehr Zeug hinzu.

Befehle

Verwendung

Sobald dein Teamserver läuft, ist es so einfach wie das Ausführen der folgenden Befehle:

• Angriffsmaschine: python handler.py
• Zielmaschine: ./gopher47

Du kannst die Havoc-GUI verwenden, um es zu kompilieren, oder du kannst den Quellcode einfach nach Belieben bearbeiten und mit der Makefile herumspielen, es gibt nicht viel davon.

Bekannte Probleme

• Falscher OS-Name im Client – Stand 01.01.24 wurde Havoc umstrukturiert und ist wählerischer, wie es die OS-Version empfängt. Immer noch Work in Progress, aber es unterstützt derzeit schlicht keine Linux-Betriebssysteme. Der aktuelle Fix erzeugt nur eine gefälschte Versionsnummer, die das Implant zumindest funktionieren lässt, aber ich muss etwas umschreiben.
• Fehlende Informationen – ehrlich gesagt hauptsächlich eine Sache der Bequemlichkeit; ich hätte nicht gedacht, dass ich darauf zurückkomme.

FAQ

Warum Go?

Ich wollte einfach ein echtes Golang-Projekt zusammenstellen, auf das ich verweisen kann. Aber Golang eignet sich auch hervorragend für Cross-Kompilierung, hat ein gutes Entwicklungsumfeld und ist viel einfacher zu schreiben als C/C++.

Wird es AV/EDR umgehen?

Keine Ahnung, aber werd erwachsen. Verschleiere und passe es selbst an, hör auf, ein Baby zu sein.

Warum ist die Binärdatei so groß?

Golang kompiliert zusammen mit Rust und anderen Sprachen statisch, das heißt, alle Bibliotheken, die zum Ausführen der ausführbaren Datei benötigt werden, sind in die Binärdatei eingebacken, was sich summiert. Wenn du die Größe reduzieren willst, mache ich das nicht standardmäßig, aber schau dir diesen Link für einige Tipps an. UPDATE: Ich habe eine Option hinzugefügt, um einen Teil davon zu erledigen, aber ich bin sicher, dass es noch mehr Anpassungsmöglichkeiten gibt :/

Ist es OPSEC-sicher?

Schlechte Frage. Wenn du den Code liest, wirst du eine Reihe von Dingen finden, die nicht ideal sind. Wenn du dir wirklich Sorgen um OPSEC machen würdest, hättest du inzwischen angefangen, den Code zu lesen und Korrekturen vorzunehmen, wo sie nötig sind.

Kann ich mehrere Gophers ausführen?

Im Moment eher nicht. Die aktuelle Havoc-API erlaubt nur, dass ein Handler von einem Agent verwaltet wird, und es gibt wirklich keinen guten, sauberen Weg, mehrere gleichzeitig laufen zu lassen. Umbauten sind in Arbeit, aber vorerst kann es nur einen Gopher47 geben.

Ist die Kommunikation verschlüsselt?

Nein. Ab Version 0.4 von Havoc gibt es keine Möglichkeit, einen sicheren Schlüsselaustausch durchzuführen, ohne die Schlüssel direkt zu gefährden. Sobald das System im havoc-py-Interface überarbeitet ist, werde ich das erledigen. DAHER IST DIES NICHT OPSEC-SICHER _{bitte sei nicht dumm und nutze das in einem echten Einsatz; CTFs/Labs sind aber in Ordnung}

HTTPS bietet Verschlüsselung, aber auf eigene Gefahr.

Wie läuft dein Tag so?

Ich habe dafür um 1:00 Uhr morgens einem Golang-Gopher eine Waffe in die Hand fotoschopiert.

Danksagungen/Referenzen/Verwandte Arbeiten

• C5pider und dem gesamten Havoc Framework-Team dafür, dass ich nicht mein eigenes C2 schreiben musste, um etwas Implant-Entwicklung zu betreiben
• Sliver und Merlin für die Pionierarbeit (oder zumindest Innovation) bei viel Offensivem Golang
• SharpAgent und PyHmmm waren großartiges Material zum Stehlen Referenzmaterial
• OffensiveGolang enthält einige nette Arbeiten zu Offensivem Go
• Ne0nd0gs Fork von go-clr
• maldev-for-dummies ist auch ein guter Einstiegspunkt für die Arbeit mit Nicht-C-Malware Ich habe definitiv ein paar vergessen, aber auf den Versuch o7

Haftungsausschluss

Es gibt keine Möglichkeit, ein für offensive Sicherheit relevantes Forschungswerkzeug zu entwickeln und als Open Source zu veröffentlichen, ohne dass es in die falschen Hände geraten könnte. Dieses Tool darf nur für legale, ethische Zwecke verwendet werden, einschließlich, aber nicht beschränkt auf Forschung, Sicherheitsbewertung und Bildung.

TL;DR: Bleibt legal, Leute.