jm33-m0/emp3r0rSelbstheilendes Gossip Mesh C2 mit assistierter Peer-Erkennung, plattformübergreifender BOF-Ausführung und skriptfähigen Agenten.
Ein selbstheilendes, rein speicherbasiertes C2 für Linux und Windows — Agents, die abgebrochene Verbindungen überleben, niemals die Festplatte berühren und sich per Skript durch die Win32-API arbeiten.
emp3r0r ist ein Post-Exploitation-Framework und C2, das für Linux- und Windows-Umgebungen entwickelt wurde, in denen Stealth und Resilienz nicht optional sind. Statt eine zuverlässige Verbindung zu einem Server anzunehmen, bilden Agents ein selbstheilendes Mesh, das weiter funktioniert, wenn Verbindungen abbrechen. Statt vom Ziel Python oder PowerShell zu verlangen, führen sie alles im Speicher aus. Und statt dich auf die Tricks einer Plattform zu beschränken, führt emp3r0r Windows-BOFs, Linux-Objekte und Starlark-Skripte aus — alles fileless, alles im Prozess.
Jeder Agent trägt seine eigene Skript-Engine mit sich, sodass du neue Post-Exploitation-Logik einbringen kannst, ohne Binaries zu kompilieren oder auszuliefern.
Warum das wichtig ist: Das Schreiben und Erweitern von Agent-Funktionalität wird so einfach wie das Bearbeiten eines Skripts, ohne den Footprint, einen Interpreter oder ein neues Binary auf dem Ziel abzulegen.
Agents binden ihre Identität beim ersten Kontakt an einen kryptografischen Schlüssel — und diese Bindung ändert sich nie.
Warum das wichtig ist: Session-Hijacking und Agent-Cloning finden schlicht nicht statt; jeder Agent, mit dem du sprichst, ist der, den du registriert hast.
Jede C2- und Peer-Verbindung verwendet ephemere ECDH-Schlüssel mit sitzungsabgeleiteten Verschlüsselungsschlüsseln.
Warum das wichtig ist: Selbst wenn ein langfristiger Schlüssel später kompromittiert wird, kann er nicht verwendet werden, um bereits übertragenen Datenverkehr zu entschlüsseln.
Agents entdecken sich gegenseitig und leiten Datenverkehr durch ein Gossip-Mesh weiter, sodass die Operation nicht zusammenbricht, wenn eine Verbindung oder ein Server verschwindet.
Warum das wichtig ist: Das Netzwerk übernimmt das Pivoting für dich. Kappe eine Verbindung, verliere eine Box oder blockiere das C2 — Agents leiten sich selbst neu.
Dateien bewegen sich direkt zwischen Agents, nicht nur über das C2.
Warum das wichtig ist: Die Auslieferung ist schnell und für den C2-Kanal weitgehend unsichtbar — ideal für Umgebungen mit eingeschränktem Egress.
Einen Agent hineinzubekommen wird genauso ernst genommen wie ihn am Leben zu halten.
Warum das wichtig ist: Kleiner, anpassungsfähiger und speicherhygienischer initialer Zugang bedeutet, dass du auf Hosts landen kannst, die sonst außer Reichweite wären.
Führe kompilierte C-Module im Prozess auf beiden Plattformen aus:
Warum das wichtig ist: BOFs sind nur so gut wie ihr Loader — emp3r0r führt sie im Prozess aus, ohne neuen Prozess und ohne Spuren zu hinterlassen, auf Linux und Windows gleichermaßen.
Sobald du auf einem Windows-Host bist, lässt emp3r0r dich die Benutzer darauf werden — ohne jemals ein Tool abzulegen.
--user-Flag eines Moduls: Sie behalten die eigene Identität deines Agents und leihen sich nur die des Zielbenutzers für ausgehenden Zugriff — jedes Passwort funktioniert, nichts wird jemals validiert.--ticket-Flag für vollständiges Pass-the-Ticket: Deine Netzwerkidentität wird die des Tickets (sagen wir, des Domain Admins), während deine lokale Identität sich nie ändert.--token, --user und --ticket, sodass der Identitätswechsel nur ein Flag entfernt ist — einschließlich des Erstellens einer Session und Ladens eines Tickets in einem einzigen Befehl.