Revenant

Revenant es un agente de terceros para Havoc escrito en C, y basado en Talon. Este implante está pensado para expandir el implante Talon mediante la implementación de métodos de ejecución encubiertos, capacidades robustas y más personalización.

Configuración

Este proyecto pretende ser un implante C2 de Havoc autocontenido. La funcionalidad deseada para el usuario final es la siguiente:

***NOTA*** A partir de agosto de 2023, Havoc 0.6 rompió el soporte para agentes de terceros. @C5pider tiene la intención de devolver la funcionalidad en una futura versión, pero por el momento usa Havoc 0.5 disponible aquí: https://github.com/0xTriboulet/Havoc_0.5

HAVOC (DEV) HA SIDO PARCHEADO PARA SOPORTAR AGENTES DE TERCEROS: https://github.com/HavocFramework/Havoc/tree/dev

1. Descarga el repositorio
2. Descomprime Revenant.zip
3. pip install black
4. inicia Havoc (./havoc server --profile ./profiles/havoc.yaotl -v --debug & ./havoc client )
5. Ve a la carpeta raíz
6. python Revenant.py
7. ???
8. BENEFICIO

Compatibilidad con x86 y Win 7:

• Deshabilitar NativeAPI

Nota: Revenant usa NtCreateUserProcess para proporcionar la funcionalidad de NativeAPI. NtCreateUserProcess no es compatible con x86 ni con Win 7

Comandos

• pwsh - ejecuta comandos a través de powershell.exe -> pwsh ls
• shell - ejecuta comandos a través de cmd.exe -> shell dir
• download - descarga un archivo a la carpeta loot -> download C:\test.txt
• upload - sube un archivo a la carpeta deseada -> upload /home/test.txt C:\temp\test.txt
• exit - elimina el implante actual -> exit

Opciones

• Sleep - Establece el sleep en segundos
• Polymorphic - Habilitar/Deshabilitar polimorfismo en tiempo de compilación y ejecución
• Obfuscation - Ofuscar cadenas con XOR
• Arch - x86/x64
• Native - Usar NativeAPI donde esté implementado
• AntiDbg - Aprovechar comprobaciones antidebug en la inicialización
• RandCmdIDs - Aleatorizar los IDs de comando
• Unhooking - Método GhostFart/Perun's Fart para desenganchar, ejecutar el comando y volver a enganchar

Nota: RandCmdIDs aleatoriza los CmdIDs en el ejecutable de salida. Revenant NO almacena estos CmdIDs aleatorios; solo funcionarán con la sesión activa. Si quieres un ejecutable reutilizable, NO habilites esta opción.

Pendientes:

• Añadir exec-assembly
• Añadir comandos cd, ls, whoami
• Disminuir la entropía