Adaptix Serverless C2

Serverless-C2-Transport-Plugin für AdaptixC2 v1.2, das AWS Lambda + DynamoDB als Relay-Infrastruktur verwendet. Agent-Traffic erscheint als ausgehendes HTTPS zu AWS-Endpunkten und erfordert keine eingehenden Ports oder öffentlichen IPs auf dem C2-Server.

Architektur

Kharon Agent (target)
    |
    | HTTPS GET/POST (outbound only, randomly alternated)
    v
AWS Lambda Function URL (stateless relay)
    |
    | Store inbound / Poll outbound (up to 8s)
    v
DynamoDB (inbound + outbound tables)
    ^
    | Poll every 5 seconds
    |
Listener Plugin (inside AdaptixC2)
    |
    | TsAgent API + TsExtenderData (key persistence)
    v
AdaptixC2 Teamserver + UI

Datenfluss:

1. Der Kharon-Agent sendet einen verschlüsselten Check-in per HTTPS an die Lambda Function URL
2. Lambda speichert die Rohdaten in der DynamoDB-Tabelle inbound
3. Lambda fragt die Tabelle outbound bis zu 8 Sekunden lang ab (überbrückt die asynchrone Lücke für die Registrierung)
4. Wenn eine Antwort existiert, gibt Lambda sie zurück und markiert sie als zugestellt
5. Das AdaptixC2-Listener-Plugin fragt die DynamoDB-Tabelle inbound nach unverarbeiteten Datensätzen ab
6. Der Listener parst das Kharon-Wire-Protokoll (LokyCrypt-verschlüsselt), registriert/aktualisiert den Agent
7. Wenn der Operator Befehle erteilt, verschlüsselt der Listener sie im Kharon-Format und speichert sie in outbound
8. Beim nächsten Check-in gibt Lambda die Antwort an den Agent zurück

Komponenten

Komponente	Pfad	Zweck
Kharon-Agent	agent/	Mitgeliefertes Kharon-Implant (C++-Quellcode)
Terraform	deploy/aws/	Lambda + DynamoDB + IAM + KMS-Infrastruktur
Lambda-Relay	deploy/aws/lambda/	Zustandsloser HTTP-zu-DynamoDB-Proxy mit Outbound-Polling
Listener-Plugin	listener/	AdaptixC2-Plugin, DynamoDB-Polling, Kharon-Protokoll-Bridge
Kharon-Konfigurationen	kharon/	AXS-Befehlsregistrierung und -Konfiguration für Agent-/Listener-Extender
Patches	patches/	AdaptixC2-Quellcode-Patches für BeaconServerless-Unterstützung
Profile	profiles/	Malleable-HTTP-Profil für Lambda-URL
Skripte	scripts/	Installieren, Bauen, Bereitstellen, Deinstallieren

Voraussetzungen

• AWS-Konto mit konfigurierten Anmeldedaten (aws configure)
• Terraform >= 1.5.0
• Go >= 1.23 (Listener-Plugin erfordert übereinstimmendes GOEXPERIMENT mit dem Server-Binary)
• AdaptixC2 v1.2 installiert
• clang++ mit mingw-Targets: apt install clang lld
• NASM-Assembler: apt install nasm
• objcopy: apt install binutils-mingw-w64-x86-64

AWS-Konto-Einrichtung

1. IAM-Benutzer für die Bereitstellung erstellen

In der AWS-Konsole:

1. Gehen Sie zu IAM > Users > Create user
2. Benennen Sie ihn adaptix-deployer
3. Wählen Sie Attach policies directly
4. Hängen Sie diese von AWS verwalteten Richtlinien an:
   • AmazonDynamoDBFullAccess
   • AWSLambda_FullAccess
   • IAMFullAccess
   • CloudWatchLogsFullAccess
5. Fügen Sie eine Inline-Richtlinie für KMS hinzu:
   • Klicken Sie auf Add permissions > Create inline policy > JSON
   • Fügen Sie ein: {"Version":"2012-10-17","Statement":[{"Effect":"Allow","Action":"kms:*","Resource":"*"}]}
   • Benennen Sie sie KMSFullAccess
6. Erstellen Sie den Benutzer und gehen Sie dann zu Security credentials > Create access key
7. Wählen Sie Command Line Interface (CLI)
8. Speichern Sie die Access Key ID und den Secret Access Key

2. AWS CLI konfigurieren

aws configure
# AWS Access Key ID: <paste access key>
# AWS Secret Access Key: <paste secret key>
# Default region: us-east-1
# Default output format: json

Überprüfen:

aws sts get-caller-identity

Installation

Schritt 1: AWS-Infrastruktur bereitstellen

# Build the Lambda relay binary (cross-compiled for Amazon Linux)
./scripts/build_relay.sh

# Deploy Lambda + DynamoDB + IAM with Terraform
./scripts/deploy_infra.sh

# Note the Lambda Function URL from the output, e.g.:
# lambda_function_url = "https://xxxxx.lambda-url.us-east-1.on.aws"

Schritt 2: Plugin in AdaptixC2 installieren

./scripts/install.sh /path/to/AdaptixC2

Dieses Skript wird:

1. Ihr dist/-Verzeichnis sichern (Zertifikate, Datenbank, Profil)
2. Quellcode-Patches für BeaconServerless-Connector-Unterstützung anwenden
3. GOEXPERIMENT-Flags aus dem Server-Binary erkennen
4. Das Listener-Plugin (.so) mit passenden Flags bauen
5. AdaptixC2-Server und Extender neu bauen
6. Ihre gesicherten Dateien wiederherstellen (Zertifikate, Datenbank, Profil)
7. Das Serverless-Listener-Plugin + Kharon-Extender-Konfigurationen installieren
8. Den systemd-Dienst erstellen/aktualisieren
9. AdaptixC2 neu starten

Schritt 3: Listener in der GUI konfigurieren

1. Melden Sie sich in der AdaptixC2-Web-UI an
2. Gehen Sie zu Listeners und erstellen Sie einen neuen BeaconServerless-Listener
3. Setzen Sie Lambda URL auf die Function URL aus Schritt 1
4. Setzen Sie Relay API Key (muss mit relay_api_key in Ihrer terraform.tfvars übereinstimmen)
5. Passen Sie optional an: AWS Region, Poll Interval (Standard 5s), TTL Hours (Standard 24)
6. Laden Sie das Malleable-Profil aus profiles/lambda_default.json hoch
7. Starten Sie den Listener

Schritt 4: Payload generieren und ausführen

1. Generieren Sie in der GUI einen Kharon-Agent und wählen Sie den BeaconServerless-Listener
2. Wählen Sie Format (Exe, Dll, Svc) und Architektur (x64)
3. Führen Sie den Payload auf dem Ziel aus
4. Der Agent sollte sich innerhalb von Sekunden melden

Konfiguration

Terraform-Variablen (deploy/aws/terraform.tfvars)

region        = "us-east-1"
function_name = "adaptix-relay"
relay_api_key = "your-secret-key-here"
tags = {
  Project = "adaptix-serverless"
}

Listener-Einstellungen (AdaptixC2 GUI)

Feld	Beschreibung	Standard
AWS Region	Region, in der die Infrastruktur bereitgestellt wird	us-east-1
Lambda URL	Function URL aus der Terraform-Ausgabe	(erforderlich)
Relay API Key	Muss mit dem relay_api_key von Terraform übereinstimmen	(optional)
Inbound Table	DynamoDB-Tabelle für Agent-Check-ins	adaptix-inbound
Outbound Table	DynamoDB-Tabelle für Server-Antworten	adaptix-outbound
Poll Interval	Wie oft DynamoDB abgefragt wird (Sekunden)	5
TTL Hours	Ablauf von DynamoDB-Datensätzen	24

Wichtige technische Details

Kharon-Wire-Protokoll

Der Kharon-Agent verwendet ein benutzerdefiniertes Binärprotokoll über HTTP:

• Neuer Agent (Registrierung): [36-byte UUID][encrypted_checkin_data][16-byte LokyCrypt key]
• Verbundener Agent (GetTask): [36-byte UUID][encrypted_payload] (kein nachfolgender Schlüssel)
• !Verbundener Agent (Key Stomping): Wenn der Payload klein ist, überlappt der 16-Byte-Schlüssel bei TotalLen-16 in den UUID-Bereich. Bei einem 44-Byte-Paket beginnt der Schlüssel bei Offset 28 und überschreibt die UUID-Bytes 28-35 sowie alle verschlüsselten Daten.

Der Listener erkennt alle drei Formate und behandelt sie korrekt.

Lambda-Outbound-Poll-Schleife