RedCaddy

C2-Redirector auf Basis von Caddy

Inhaltsverzeichnis

• Überblick
• Funktionen
• Hinweis
• Schnellstart
• Schritt für Schritt
• Referenzen

Überblick

Generiere Caddyfile mit C2-Malleable-Profilen

Funktionen

• IPs anhand des GEOIP-Landes blockieren
• Anfragen per Header-Matcher zulassen
• User-Agent- und IP-Blacklist
• Unterstützung mehrerer Weiterleitungen
• TeamServer-Port-Warden

Hinweis

• Die „redwarden_parser.py“ unter modules stammt aus RedWarden von mgeeky
• Viel Inspiration stammt aus diesem Artikel: 🇬🇧 Carrying the Tortellini's golf sticks
• IP-Blacklists von RedGuard's IP Blacklists
• User-Agent-Blacklists von mitchellkrogza's UA blacklists
• self-signed-cert.py modifiziert auf Basis von CarbonCopy

Schnellstart

• Selbstsigniertes Zertifikat generieren
• Den benutzerdefinierten Caddy mit bestimmten Modulen erstellen (optional)
• Stelle sicher, dass set trust_x_forwarded_for "true"; im C2-Malleable-Profil bereits aktiviert ist
• Kopiere dein C2-Malleable-Profil in RedCaddy
• Füge deine Weiterleitungsregeln in Dateien ein (z. B. chains.list)
• Generiere schließlich die Caddyfile mit dem hässlichen Python-Skript

Schritt für Schritt

• 1. Generiere selbstsignierte Zertifikate mit „self-signed-cert.py“ :
  python3 self-signed-cert.py -t [Https Server]
  Wie du sehen kannst, werden localhost.* in core/cert-out generiert.
  

• 2. Aktiviere set trust_x_forwarded_for "true"; im C2-Malleable-Profil
  

• 3. Die Header Host & Referer müssen in jedem Client-Block des C2-Malleable-Profils definiert werden
  ⚠️ Hinweis: Die gefälschte Subdomain muss im SAN-Attribut (Subject Alternative Name) der selbstsignierten Zertifikate vorhanden sein.
  

• 4. Kopiere das C2-Profil in RedCaddy
  Ich verwende threatexpress‘s jquery-c2.4.3.profile als Beispiel
  

• 5. Bearbeite die Weiterleitungsregeln in „chains.list“ bedeutet, dass eingehender Verkehr von Port *:443 an localhost (C2-Backend) weitergeleitet wird.

git clone https://github.com/XiaoliChan/RedCaddy-core.git
cd cmd/caddy
go get github.com/aksdb/caddy-cgi/v2
go get github.com/XiaoliChan/caddy-maxmind-geolocation@self
CGO_ENABLED=0 go build
upx --best --lzma caddy

• Q: Warum nicht das JSON- oder YAML-Format verwenden?
  A: Tut mir leid, ich weiß nicht, wie man eine Caddyfile im JSON-/YAML-Format schreibt.

• Q: Kann bei nicht passenden Routen eine 404-Antwort zurückgegeben werden?
  A: Nun, Caddy kann das nicht ¯\(ツ)/¯.

Referenzen

• Parser für Malleable-C2-Profile
• 🇬🇧 Carrying the Tortellini's golf sticks
• Cobalt stagger
• So erstellst du selbstsignierte Zertifikate
• Caddy-Zugriffskontrolle