notRDP

Ein Havoc-C2-Plugin, das einen unsichtbaren alternativen Windows-Desktop erstellt, ihn an einen browserbasierten Viewer streamt und vollständige Maus-/Tastaturinteraktion wie RDP unterstützt, jedoch für den Zielbenutzer unsichtbar.

Funktionsweise

1. Erstellt einen versteckten Desktop über CreateDesktopW und startet explorer.exe darauf
2. Erfasst den versteckten Desktop mittels PrintWindow-Compositing und streamt JPEG-Frames
3. Injiziert Maus-/Tastatureingaben über PostMessage direkt an die Fenster des versteckten Desktops
4. Rendert den Stream in einem Browser-Viewer mit vollständiger Eingabeerfassung

Voraussetzungen

Cross-Compiler: x86_64-w64-mingw32-gcc (und optional i686-w64-mingw32-gcc für x86)

Installation auf Ubuntu / Debian / Kali

sudo apt update && sudo apt install gcc-mingw-w64-x86-64 gcc-mingw-w64-i686

Installation auf Arch

sudo pacman -S mingw-w64-gcc

Installation auf Fedora

sudo dnf install mingw64-gcc mingw32-gcc

Kompilieren

make        # x64 only
make both   # x64 + x86
make clean  # remove .o files

Manuell (ohne Make)

x86_64-w64-mingw32-gcc -c -Wall -Wno-unused-variable -o screenshot.x64.o screenshot.c
x86_64-w64-mingw32-gcc -c -Wall -Wno-unused-variable -o screeninput.x64.o screeninput.c
x86_64-w64-mingw32-gcc -c -Wall -Wno-unused-variable -o notrdp_mgr.x64.o notrdp_mgr.c

Installation

1. Kompiliere die BOFs
2. Im Havoc Client: Scripts Manager > Load Script > notrdp.py

Verwendung

notrdp [port] [quality]   # Start hidden desktop session
notrdp-close              # Close session

notrdpuser Plugin

Ein Varianten-Plugin, das die echte Desktop-Sitzung des Benutzers erfasst, anstatt eine versteckte zu erstellen. Enthält opsec-freundliche Tastenerfassung über GetAsyncKeyState-Polling, eingebettet im Screenshot-BOF. Verpackt als notrdpuser.zip im selben Repo – entpacken und notrdpuser.py auf dieselbe Weise laden.

notrdpuser [port] [quality]   # Start user desktop streaming + keystroke capture
notrdpuser-close              # Close session