Adaptix Serverless C2

Serverless-C2-Transport-Plugin für AdaptixC2 v1.2, das AWS Lambda + DynamoDB als Relay-Infrastruktur verwendet. Agent-Traffic erscheint als ausgehendes HTTPS zu AWS-Endpunkten und erfordert keine eingehenden Ports oder öffentlichen IPs auf dem C2-Server.

Architektur

Kharon Agent (target)
    |
    | HTTPS GET/POST (outbound only, randomly alternated)
    v
AWS Lambda Function URL (stateless relay)
    |
    | Store inbound / Poll outbound (up to 8s)
    v
DynamoDB (inbound + outbound tables)
    ^
    | Poll every 5 seconds
    |
Listener Plugin (inside AdaptixC2)
    |
    | TsAgent API + TsExtenderData (key persistence)
    v
AdaptixC2 Teamserver + UI

Datenfluss:

1. Der Kharon-Agent sendet einen verschlüsselten Check-in über HTTPS an die Lambda Function URL
2. Lambda speichert die Rohdaten in der DynamoDB-Tabelle inbound
3. Lambda fragt die Tabelle outbound bis zu 8 Sekunden lang ab (überbrückt die asynchrone Lücke für die Registrierung)
4. Wenn eine Antwort existiert, gibt Lambda sie zurück und markiert sie als zugestellt
5. Das AdaptixC2-Listener-Plugin fragt die DynamoDB-Tabelle inbound nach unverarbeiteten Datensätzen ab
6. Der Listener parst das Kharon-Wire-Protokoll (LokyCrypt-verschlüsselt) und registriert/aktualisiert den Agenten
7. Wenn der Operator Befehle erteilt, verschlüsselt der Listener sie im Kharon-Format und speichert sie in outbound
8. Beim nächsten Check-in gibt Lambda die Antwort an den Agenten zurück

Komponenten

Komponente	Pfad	Zweck
Kharon-Agent	agent/	Gebündeltes Kharon-Implant (C++-Quellcode)
Terraform	deploy/aws/	Lambda + DynamoDB + IAM + KMS-Infrastruktur
Lambda-Relay	deploy/aws/lambda/	Zustandsloser HTTP-zu-DynamoDB-Proxy mit Outbound-Polling
Listener-Plugin	listener/	AdaptixC2-Plugin, DynamoDB-Polling, Kharon-Protokoll-Bridge
Kharon-Konfigurationen	kharon/	AXS-Befehlsregistrierung und Konfiguration für Agent-/Listener-Extender
Patches	patches/	AdaptixC2-Quellcode-Patches für BeaconServerless-Unterstützung
Profile	profiles/	Malleable-HTTP-Profil für Lambda-URL
Skripte	scripts/	Installieren, Bauen, Bereitstellen, Deinstallieren

Voraussetzungen

• AWS-Konto mit konfigurierten Anmeldeinformationen (aws configure)
• Terraform >= 1.5.0
• Go >= 1.23 (Listener-Plugin erfordert übereinstimmendes GOEXPERIMENT mit dem Server-Binary)
• AdaptixC2 v1.2 installiert
• clang++ mit mingw-Targets: apt install clang lld
• NASM-Assembler: apt install nasm
• objcopy: apt install binutils-mingw-w64-x86-64

AWS-Konto-Einrichtung

1. IAM-Benutzer für die Bereitstellung erstellen

In der AWS-Konsole:

1. Gehen Sie zu IAM > Users > Create user
2. Benennen Sie ihn adaptix-deployer
3. Wählen Sie Attach policies directly
4. Hängen Sie diese von AWS verwalteten Richtlinien an:
   • AmazonDynamoDBFullAccess
   • AWSLambda_FullAccess
   • IAMFullAccess
   • CloudWatchLogsFullAccess
5. Fügen Sie eine Inline-Richtlinie für KMS hinzu:
   • Klicken Sie auf Add permissions > Create inline policy > JSON
   • Fügen Sie ein: {"Version":"2012-10-17","Statement":[{"Effect":"Allow","Action":"kms:*","Resource":"*"}]}
   • Benennen Sie sie KMSFullAccess
6. Erstellen Sie den Benutzer und gehen Sie dann zu Security credentials > Create access key
7. Wählen Sie Command Line Interface (CLI)
8. Speichern Sie die Access Key ID und den Secret Access Key

2. AWS CLI konfigurieren

aws configure
# AWS Access Key ID: <paste access key>
# AWS Secret Access Key: <paste secret key>
# Default region: us-east-1
# Default output format: json

Überprüfen:

aws sts get-caller-identity

Installation

Schritt 1: AWS-Infrastruktur bereitstellen

# Build the Lambda relay binary (cross-compiled for Amazon Linux)
./scripts/build_relay.sh

# Deploy Lambda + DynamoDB + IAM with Terraform
./scripts/deploy_infra.sh

# Note the Lambda Function URL from the output, e.g.:
# lambda_function_url = "https://xxxxx.lambda-url.us-east-1.on.aws"

Schritt 2: Plugin in AdaptixC2 installieren

./scripts/install.sh /path/to/AdaptixC2

Dieses Skript wird:

1. Dein dist/-Verzeichnis sichern (Zertifikate, Datenbank, Profil)
2. Quellcode-Patches für die Unterstützung des BeaconServerless-Connectors anwenden
3. GOEXPERIMENT-Flags aus der Server-Binärdatei erkennen
4. Das Listener-Plugin (.so) mit passenden Flags bauen
5. AdaptixC2-Server und Extender neu bauen
6. Deine gesicherten Dateien wiederherstellen (Zertifikate, Datenbank, Profil)
7. Das Serverless-Listener-Plugin + Kharon-Extender-Konfigurationen installieren
8. Den systemd-Dienst erstellen/aktualisieren
9. AdaptixC2 neu starten

Schritt 3: Listener in der GUI konfigurieren

1. Melde dich in der AdaptixC2-Weboberfläche an
2. Gehe zu Listeners und erstelle einen neuen BeaconServerless-Listener
3. Setze die Lambda URL auf die Function URL aus Schritt 1
4. Setze den Relay API Key (muss mit relay_api_key in deiner terraform.tfvars übereinstimmen)
5. Passe optional an: AWS Region, Poll Interval (Standard 5s), TTL Hours (Standard 24)
6. Lade das malleable Profil aus profiles/lambda_default.json hoch
7. Starte den Listener

Schritt 4: Payload generieren und ausführen

1. Generiere in der GUI einen Kharon-Agent und wähle dabei den BeaconServerless-Listener aus
2. Wähle Format (Exe, Dll, Svc) und Architektur (x64)
3. Führe den Payload auf dem Ziel aus
4. Der Agent sollte sich innerhalb von Sekunden melden

Konfiguration

Terraform-Variablen (deploy/aws/terraform.tfvars)

region        = "us-east-1"
function_name = "adaptix-relay"
relay_api_key = "your-secret-key-here"
tags = {
  Project = "adaptix-serverless"
}

Listener-Einstellungen (AdaptixC2 GUI)

Feld	Beschreibung	Standard
AWS Region	Region, in der die Infrastruktur bereitgestellt wird	us-east-1
Lambda URL	Funktions-URL aus der Terraform-Ausgabe	(erforderlich)
Relay API Key	Muss mit dem relay_api_key von Terraform übereinstimmen	(optional)
Inbound Table	DynamoDB-Tabelle für Agent-Check-ins	adaptix-inbound
Outbound Table	DynamoDB-Tabelle für Server-Antworten	adaptix-outbound
Poll Interval	Wie oft DynamoDB abgefragt wird (Sekunden)	5
TTL Hours	Ablauf von DynamoDB-Einträgen	24

Wichtige technische Details

Kharon Wire Protocol

Der Kharon-Agent verwendet ein benutzerdefiniertes Binärprotokoll über HTTP:

• Neuer Agent (Registrierung): [36-byte UUID][encrypted_checkin_data][16-byte LokyCrypt key]
• Verbundener Agent (GetTask): [36-byte UUID][encrypted_payload] (kein nachfolgender Schlüssel)
• !Verbundener Agent (Key Stomping): Wenn die Payload klein ist, überlappt der 16-Byte-Schlüssel bei TotalLen-16 in den UUID-Bereich. Bei einem 44-Byte-Paket beginnt der Schlüssel bei Offset 28 und überschreibt die UUID-Bytes 28-35 sowie alle verschlüsselten Daten.

Der Listener erkennt alle drei Formate und verarbeitet sie korrekt.

Lambda Outbound Poll Loop