🧙‍♂️ Loki Command & Control

Loki ist ein Command-and-Control-Framework (C2) der Stufe 1, geschrieben in Node.js, das verwundbare Electron-Apps per Script-Jacking übernimmt MITRE ATT&CK T1218.015. Loki wurde für Red-Team-Operationen entwickelt und ermöglicht die Umgehung von Sicherheitssoftware und Anwendungskontrollen durch die Ausnutzung vertrauenswürdiger, signierter Electron-Apps.

Beim Script-Jacking wird der Ausführungsfluss einer Electron-App gekapert, indem zur Laufzeit geladene JavaScript-Dateien mit beliebigem Node.js-Code modifiziert werden. Diese Technik kann genutzt werden, um:

• Electron-Apps zu backdooren
• Electron-Apps auszuhöhlen
• Die Ausführung auf einen anderen Prozess zu verketten

Während sich mehrere Tools bereits damit befassen, Script-Jacking zu nutzen, um die Ausführung auf einen anderen Prozess zu verketten, ist Loki das erste, das das Backdooring und Hollowing signierter Electron-Apps ermöglicht, ohne deren Code-Signatur zu invalidieren.

Weitere Details zur Funktionsweise von Loki findest du in diesem Blogbeitrag:

• Umgehung der Windows Defender Application Control mit Loki C2

🚀 Mitwirkende

Name	Beiträge
Bobby Cooke	Ersteller & Betreuer
Dylan Tran	Ersteller
Ellis Springe	Alpha-Tester
Shawn Jones	Assembly-Ausführungscode
Trusted Sec	COFFLoader-Code
Simon Exley	Video-Ersteller
Clinton Elves	Video-Ersteller
John Hammond	Video-Ersteller

Videos

Schau dir dieses Video von John Hammond an, in dem er Cursor AI mit Loki C2 backdoort! 🎩

• Im Video zeigt er, wie man eine neue verwundbare Electron-Anwendung entdeckt, sie mit Loki C2 backdoort, sich mit der Client-GUI einrichtet, und wir haben sogar zwei Möglichkeiten entwickelt, die App dauerhaft im Hintergrund laufen zu lassen 🪄 -- Aus Sicht des Endbenutzers läuft Cursor ganz normal! 🥷

Schau dir dieses Video von Simon Exley & Clinton Elves an, um mit Loki C2 loszulegen! 🧙‍♂️

Funktionen & Details

• Azure Storage Blob C2-Kanal
  • SAS-Token zum Schutz des C2-Speicherkontos
• AES-verschlüsselte C2-Nachrichten
• Proxy-bewusster Agent
  • Nutzt Chromium-Renderer-Kindprozesse für den Agent, Shellcode-Ausführung und Assembly-Ausführung im Fork-n-Run-Stil – erbt die Proxy-fähigen Fähigkeiten von Chromium.
• Ohne Teamserver
  • Anders als bei herkömmlichen C2-Frameworks, bei denen Agents Nachrichten an einen Teamserver senden, gibt es keinen Teamserver
  • Der GUI-Client und die Agents checken beide im selben Datenspeicher ein
• Verborgene Ausführung – läuft im Hintergrund

Befehle

Alle Agent-Befehle sind in nativem Node.JS geschrieben und benötigen keine zusätzlichen Abhängigkeiten oder Bibliotheksladeereignisse. Mit Ausnahme der Befehle scexec und assembly, die eine Bibliotheksladung auf keytar.node und assembly.node durchführen.

• Alle Befehle akzeptieren Pfade mit /, \ in Pfaden funktioniert nicht.

Befehl	Beschreibung
help	Hilfe anzeigen. Verwendung: help oder help scan
pwd	Arbeitsverzeichnis anzeigen
ls	Datei- und Verzeichnisliste
cat	Inhalt einer Datei anzeigen
env	Prozess-Umgebungsvariablen anzeigen
spawn	Einen Kindprozess starten
drives	Laufwerke auflisten
mv	Eine Datei zu einem neuen Ziel verschieben
sleep	Für Sekunden mit Jitter schlafen
cp	Eine Quelldatei zu einem Ziel kopieren
exit-all	Beendet den Agent; der Agent meldet sich nicht mehr zurück
load	Eine Node-PE-Datei von der Festplatte in den Prozess laden
scexec	Shellcode ausführen
assembly	Eine .NET-Assembly ausführen und Befehlsausgabe erhalten
upload	Eine Datei von deiner lokalen Operator-Box auf die entfernte Agent-Box hochladen
download	Eine Datei von der entfernten Agent-Box auf die lokale Operator-Box herunterladen
scan	TCP-Netzwerkscan über den CIDR-Bereich mit ausgewählten Ports durchführen
dns	DNS-Lookup. Nutzt die DNS-Konfiguration des Systems
set	Legt die Node-Ladepfade für Assembly-Node und Scexec-Node fest
bof	Eine COFF-Datei ausführen und Ausgabe zurückgeben

Set – Nodes aus Ausschlusspfaden der Anwendungskontrolle laden

• Wenn Application-Control-Regeln das Laden von Bibliotheken für die Node-Dateien verhindern, kannst du mit dem Befehl set die Ladepfade für assembly.node und scexec.node ändern.
• Mit ls, cat, cp und mv kannst du möglicherweise die Application-Control-Regeln enumerieren, um ein beschreibbares Verzeichnis zu finden, das ausgenommen ist.
• Damit kannst du die Node-Dateien in das Ausschlussverzeichnis legen und mit dem Befehl set ihren Ladepfad auf das Ausschlussverzeichnis ändern, um die Anwendungskontrolle zu umgehen.
• Weitere Details zu diesem Angriffsvektor findest du im Kurs CRTO2 von Daniel Duggan (@_RastaMouse)

[04-04-2025 8:50AM MST] advsim$ help set
Set the Node load paths for assembly node and scexec nodes
	set scexec_path C:/Users/user/AppData/ExcludedApp/scexec.node
	set assembly_path C:/Users/user/AppData/ExcludedApp/assembly.node
[04-04-2025 8:51AM MST] advsim$ set scexec_path C:/Users/user/AppData/ExcludedApp/scexec.node
SCEXEC Node Load Path Set to : C:/Users/user/AppData/ExcludedApp/scexec.node

Agent-Funktionen

Weitere Informationen zu den Agent-Funktionen findest du hier

Client-Funktionen

Weitere Informationen zu den Client-Funktionen findest du hier