🛡️ BitLock Framework: Kryptovirologie- und C2-Ökosystem (PoC)

Dieses Repository enthält eine umfassende Proof-of-Concept (PoC) zum Studium moderner Bedrohungsarchitekturen. Das Projekt simuliert eine fileless (dateilose) Angriffsumgebung mit einer Command-and-Control-Infrastruktur (C2), die durch elliptische Kurven-Kryptographie und sichere Löschprotokolle geschützt ist.

🔬 Analyse des Angriffslebenszyklus

Das System arbeitet durch eine koordinierte Ausführung von drei Hauptmodulen, die entwickelt wurden, um traditionelle Abwehrmaßnahmen zu umgehen und die Persistenz der Schlüssel auf dem Server zu gewährleisten.

1. Flüchtige Infiltration (load.py)

Der Angriff beginnt mit einem Stage-0-Stager. Seine Hauptfunktion ist die Umgehung von EDR (Endpoint Detection and Response):

• Flüchtiger Handshake: Erzeugt einen eindeutigen AES-256-Schlüssel im RAM und überträgt ihn an Port 5001.
• Nutzdatenverschlüsselung: Der Server verschlüsselt die Ransomware in Echtzeit vor dem Senden, was die Paketinspektion mittels statischer Signaturen vereitelt.
• In-Memory-Ausführung: Die Payload wird entschlüsselt und direkt im flüchtigen Speicher zu Bytecode kompiliert.
• Anti-Forensik: Implementiert ein secure_wipe, um den Schlüssel und den Quellcode im Klartext zu zerstören, bevor exec() aufgerufen wird.

2. Aufbau des C2-Kanals (BitLockC2Server.py)

Der Server fungiert als gepanzerter Tresor für die Verwaltung kryptografischer Vermögenswerte:

• Tresor-Härtung: Die Schlüsseldatenbank verwendet AES-256-GCM-Verschlüsselung mit PBKDF2-Ableitung (480.000 Iterationen).
• Physische Sicherheit: Der Befehl --del aktiviert einen Data-Shredding-Algorithmus, der die Dateien mit zufälligem Müll überschreibt und os.fsync() verwendet, um das Leeren des Hardware-Puffers sicherzustellen.

3. Zielverschlüsselungsmodul (BitLock-client.py)

Das injizierte Modul führt die Dateiverschlüsselung nach militärischen Standards durch:

• Hybrider Handshake: Implementiert ECDHE (Kurve P-384) zur Erzielung von Perfect Forward Secrecy (PFS). Es verfügt über einen automatischen Fallback auf RSA-4096, wenn die Elliptische-Kurven-Bibliotheken nicht vorhanden sind.
• Authentifizierte Verschlüsselung: Verwendet AES-GCM, um sicherzustellen, dass die Dateien ohne die ursprüngliche Integritätssignatur weder verändert noch wiederhergestellt werden können.
• Intelligente Umgehung: Überspringt kritische Systemverzeichnisse (Windows, /bin/, /etc/), um den Zusammenbruch des Betriebssystems zu vermeiden und die Sichtbarkeit des Ergebnisberichts sicherzustellen.

📊 Flussdiagramm (Daten-Pipeline)

graph TD
    A[Cliente: Ejecuta load.py] -->|1. Envía Clave Efímera| B(Servidor C2: Puerto 5001)
    B -->|2. Envía Payload Cifrado| A
    A -->|3. Descifra y Ejecuta en RAM| C[BitLock-Payload]
    C -->|4. Intercambio ECDHE| D(Servidor C2: Puerto 5000)
    D -->|5. Almacena Llave en Bóveda| E[(DB Cifrada PBKDF2)]
    C -->|6. Cifrado AES-GCM| F[Archivos .locked]
    C -->|7. Auto-destrucción| G[Proceso Finalizado]

⚙️ Technische Sicherheitsspezifikationen

⚠️ Haftungsausschluss (Ethical Hacking)

Dieses Projekt ist ausschließlich zu Bildungs- und Forschungszwecken bestimmt.

1. Die Nutzung dieses Werkzeugs auf Systemen ohne vorherige Genehmigung ist illegal und stellt eine Computerstraftat dar.
2. Der Autor übernimmt keine Haftung für Schäden an der Infrastruktur des Benutzers oder Dritter.
3. Wenn der Benutzer sein eigenes System aufgrund eines Konfigurationsfehlers blockiert, übernimmt er die volle technische und wirtschaftliche Verantwortung für die Wiederherstellung seiner Daten.

Entwickelt für die Forschung im Bereich offensive Sicherheit und Verteidigung kritischer Infrastrukturen.