Hermes

Hermes es un agente ligero para Linux escrito en Python, diseñado para Mythic 3.0 y posteriores. Nombrado en honor a Hermes, mensajero de los dioses — construido para velocidad y discreción.

Características

• Soporte para Linux
• Soporte para proxy SOCKS5 para pivoteo y movimiento lateral
• Múltiples perfiles C2: HTTP, Notion
• Intercambio de claves cifrado (EKE) con RSA-4096 + AES-256-CBC + HMAC-SHA256
• Soporte AESPSK (clave precompartida, no requiere intercambio de claves)
• 24 comandos integrados que cubren:
  • Reconocimiento (whoami, ps, netstat, ifconfig, systeminfo, env)
  • Operaciones de archivos (ls, cat, cp, mv, rm, mkdir, chmod, chown, find, grep)
  • Transferencia de archivos (upload, download)
  • Ejecución (shell)
  • Control del agente (sleep, exit, cd)

Instalación

1.) Instala Mythic desde aquí

2.) Desde el directorio de instalación de Mythic, ejecuta el siguiente comando:

./mythic-cli install github https://github.com/0xbbuddha/hermes

Perfiles C2 Compatibles

HTTP

Hermes se comunica a través del perfil HTTP predeterminado utilizado por Mythic. Todas las tareas y respuestas se realizan mediante solicitudes POST.

Nota: El parámetro GET URI no se utiliza — solo se admite POST.

Notion

Hermes puede usar una base de datos de Notion como un canal C2 encubierto. El agente se comunica con Mythic creando y leyendo páginas en una base de datos de Notion compartida, haciendo que el tráfico se mezcle con las llamadas legítimas a la API de Notion.

Requiere:

• Un token de integración de Notion (integration_token)
• Un ID de base de datos de Notion compartida (database_id)

Consideraciones de OpSec

Dependencia de Python

Hermes es un agente de Python y requiere que Python 3.8+ esté presente en el sistema objetivo. Esto puede aumentar la superficie de detección en comparación con un binario compilado.

Formatos de Construcción

Intervalo de Sueño

El intervalo de sueño predeterminado afecta directamente tanto al sigilo como al rendimiento. Un intervalo de sueño alto reduce el ruido de red pero degrada el rendimiento del proxy SOCKS5. Ajústalo según tus requisitos operativos.

Crédito

• @0xbbuddha — Autor

Problemas Conocidos

Solo Linux

Hermes está construido exclusivamente para objetivos Linux. Windows y macOS no son compatibles.

Latencia SOCKS5

Debido a que el tráfico SOCKS5 se retransmite a través del bucle de sondeo HTTP del agente, la latencia está directamente vinculada al intervalo de sueño. Los protocolos en tiempo real (por ejemplo, RDP, shells interactivas) pueden experimentar un rendimiento degradado con valores de sueño altos.