AlanFramework

Ein C2-Post-Exploitation-Framework

Blogbeiträge

• Alan c2 Framework v7.0: Hyper-Pivoting
• Alan c2 Framework v6.0: Alan + JavaScript = ♡
• Alan c2 Framework v5.0 - All you can in-memory edition
• Alan post-exploitation framework v4.0 released
• Alan - A post exploitation framework

Für weitere Informationen zur Nutzung lesen Sie bitte die Dokumentation.

Quellcode kompilieren

Um Alan zu kompilieren, müssen die folgenden Schritte ausgeführt werden:

• Stellen Sie sicher, dass Sie cmake installiert haben und es im PATH ist (führen Sie cmake --help aus, um zu sehen, ob es funktioniert)
• Installieren Sie Visual Studio 2022 (die Community Edition ist ausreichend). Diese Schritte wurden mit der Version VS 2022 17.3.1 getestet.
• Stellen Sie sicher, dass .NET-Desktopentwicklung, Desktopentwicklung mit C++ und die Sprache F# als Teil der Visual Studio-Suite installiert sind.
• Installieren Sie .NET-Bibliotheken durch Ausführen von: ./src/server/paket.exe install
• Öffnen Sie die Datei .src/server/ServerSln.sln in Visual Studio. Legen Sie das Projekt ServerBuilder als Hauptprojekt fest (rechtsklicken -> Als Startprojekt festlegen).
• Führen Sie den ServerBuilder aus, der alles kompilieren wird.
• Wenn die Kompilierung erfolgreich abgeschlossen wurde, befindet sich die Alan .zip-Datei im neu erstellten Verzeichnis Misc/out/release.

Videos:

Demovideos

Änderungsprotokoll

v7.0.514.10 - 15/05/2022

• Befehl proxy für Pivoting implementiert
• Die Befehle info und info++ zeigen an, ob der Agent einen Proxy verwendet.
• Fehler in der Netzwerkkommunikation behoben (Issue 2)
• Fehler im PE-Lader behoben, wenn Funktionen über Ordinalzahlen importiert werden
• Fehler im JS-Modul behoben, das vorzeitige Speicherfreigabe verursachte
• Fehler im Befehl run behoben, der dazu führte, dass die Option & nicht funktionierte
• Die Protokollmeldungen werden jetzt in der Datei alan.log gespeichert.
• Alle generierten Ausgaben und Benutzereingaben werden in einer Beweissicherungsdatei im Ordner evidences protokolliert.
• Maschinen-ID-Informationen zum Befehl info hinzugefügt
• Pakettyp Vanilla für die Agentenerstellung hinzugefügt. Dies ermöglicht eine bessere Integration benutzerdefinierter Packer.

v6.0.511.28 24/02/2022

• x86/x64 PE-Lader geändert, um das Feld PEB->Ldr zu aktualisieren. Dadurch kann das System DLL_PROCESS_DETACH auf die injizierte DLL aufrufen.
• Maximale Antwortgröße auf 1 GB erhöht. Dies behebt den Download großer Dateien.
• Ablaufdatum des Agenten zur Konfiguration hinzugefügt.
• Der Befehl run wurde erweitert, um die Ausführung von Javascript-Dateien zu unterstützen.
• Der Befehl info++ zeigt jetzt die Volume-Bezeichnung und den Dateisystemtyp an.

v5.0.509.20 - 13/12/2021

• Befehl run implementiert
• Befehl kill implementiert
• Befehl exec implementiert
• Meldung inject entfernt, da dies mit dem Befehl run im Hintergrund erreicht werden kann
• Stager und PE-Lader erstellt, um den Agenten unauffälliger zu machen. Jede generierte Agentendatei hat einen anderen Hash.
• Code-Injektion verbessert, um die Dynamic Code Policy Mitigation zu umgehen
• Es ist jetzt möglich, den Namen der zu erstellenden Agentendatei während des Assistenten anzugeben.
• Fehler in den Befehlen upload und download behoben
• Fehler bei der Shell-Erstellung behoben. Das Token des Befehls-Shell-Prozesses hatte nicht dieselbe Integritätsstufe wie der Agent.
• Exportierte Funktion aus dem DLL-Agenten-Artefakt entfernt
• Aktuelles Arbeitsverzeichnis zum Befehl info hinzugefügt
• Befehl shell erweitert, um einen einzelnen Befehl auszuführen

v4.0.0 - 26/09/2021

• Befehl inject hinzugefügt. Dieser Befehl erlaubt es dem Operator, Code in einen entfernten Prozess zu injizieren.
• Befehl sleep hinzugefügt, der in kurzen Schlafphasen von je 400 ms ausgeführt wird.
• Konzept des Jitters in sleep eingeführt
• Agent auf x64-Bit portiert (inklusive PE32+-Lader)
• Fehler im x86-PE-Lader behoben
• .NET-Agenten-Runner wird jetzt auf unauffälligere Weise ausgeführt, um eine Erkennung zu vermeiden.
• Es ist jetzt möglich, einen benutzerdefinierten Webserver in der HTTP/S-Listener-Antwort anzugeben.
• Befehl listeners entfernt, da überflüssig
• Befehl info mit mehr Informationen verbessert
• Fehlermeldungen sind jetzt aussagekräftiger
• Informationen zum Typ des Prozesstokens (erhöht oder nicht) hinzugefügt
• Informationen zu den Berechtigungen des Prozesstokens hinzugefügt
• Informationen zu den Gruppen des Prozesstokens hinzugefügt

v3.0.0 - 15/05/2021

• Befehl quit der Agenten-Shell in exit umbenannt
• Agentenmigration über Befehl migrate implementiert
• Fehler beim Abrufen der Betriebssystemversion behoben
• DLL als Agentenformat im Erstellungsassistenten hinzugefügt.
• Befehl ps implementiert, um die aktuell laufenden Prozesse aufzulisten
• Befehl download implementiert, um eine Datei oder ein gesamtes Verzeichnis lokal herunterzuladen
• Befehl upload implementiert, um Dateien auf den kompromittierten Host hochzuladen
• SuccessRequest als HTTP-Server-Antwortoption implementiert, um die http/s-Listener-Antwort anzupassen
• ErrorRequest implementiert, um die http/s-Listener-Antwort für fehlerhafte Anfragen anzupassen
• prepend und append als HTTP-Server-Anfrageoption implementiert, um im Agentenprofil anzugeben

v2.0.500.23 - 20/03/2021

• Befehl detach des Agenten implementiert, um vorübergehend von einem verbundenen Agenten zu trennen
• Befehl detach der Shell implementiert, um vorübergehend eine Befehls-Shell zu verlassen
• Befehl listeners implementiert, um die verfügbaren Listener aufzulisten
• HTTPS-Listener implementiert, um mit dem Agenten über TLS zu kommunizieren
• Befehl get-config implementiert, um die aktuelle Agentenkonfiguration herunterzuladen
• Befehl update implementiert, um die Agentenkonfiguration zu aktualisieren
• Windows7 wird jetzt unterstützt

v1.0.0 - 22/02/2021

• Erste Veröffentlichung