Adrenaline BOF Kit

Una colección agnóstica de C2 de Beacon Object Files (BOF) para operaciones de red team y seguridad ofensiva. Los BOF están organizados por fase de cadena de ataque y diseñados para ser pequeños, modulares y amigables con la automatización para su uso en reconocimiento, enumeración y flujos de trabajo post-explotación.

Table of Contents (MITRE taxonomy)

Collection
Community
Credential Access
Discovery
Execution

Collection

BOF	Use
ai_surface	Cartografía las herramientas de IA en endpoints de desarrolladores Windows y destaca sus artefactos de configuración que pueden exponer definiciones de servidores, comandos, argumentos y credenciales incrustadas.
clipboard_grab	Recupera datos de texto del portapapeles de Windows usando APIs Win32 y devuelve el contenido al callback. Créditos del código original: @rvrsh3ll
ide_extension_surface	Enumera los manifiestos de extensiones de VS Code, Cursor, Windsurf, Zed, Insiders, OSS, y servidor/remoto desde las raíces de perfil por usuario y resume la identidad de la extensión, eventos de activación y señales de capacidad.
powershell_history	Recolecta artefactos del historial de PowerShell desde las ubicaciones predeterminadas de PSReadLine y transcripciones. Útil para localizar credenciales o infraestructura.
window_handles_enum	Enumera los identificadores de ventanas en todos los procesos del sistema y usa un identificador de ventana legítimo para acceder al portapapeles.

Community

Credential Access

Discovery

Execution

Conéctate conmigo:

DESCARGO DE RESPONSABILIDAD: Los creadores y colaboradores de este repositorio no aceptan ninguna responsabilidad por cualquier pérdida, daño o consecuencias resultantes del uso de la información o el código contenido en este repositorio. Al utilizar este repositorio, usted reconoce y acepta la responsabilidad total de sus acciones. Úselo bajo su propio riesgo.

notepad_grab	Extrae y devuelve texto plano directamente desde ventanas de Notepad abiertas leyendo la memoria, permitiendo a los operadores recuperar notas no guardadas o en memoria. Útil para recolección de datos desde endpoints en vivo. Fuente original: NoteThief
schtask_enum	Enumera tareas programadas en sistemas Windows usando la interfaz COM del Programador de tareas. Proporciona un resumen de tareas incluyendo su estado, programación y configuración sin abrumar al beacon con datos XML. Fuente original: TrustedSec CS-Situational-Awareness-BOF
net_use	Agrega, lista o elimina unidades asignadas mediante MPR (Modernizado para gestionar la memoria correctamente, evitando bloqueos) Fuente original: TrustedSec CS-Situational-Awareness-BOF
session_view	Enumera sesiones de Servicios de Terminal de Windows, mostrando IDs de sesión, nombres de usuario, dominios, estados de conexión y LUID de sesión. Fuente original: SessionView por lsecqt

certstore_loot	Enumera almacenes de certificados locales para encontrar certificados con claves privadas exportables y te proporciona la ruta para exportarlos.
cloud_metadata_check	Sondea los servicios de metadatos locales de la nube para AWS, Azure y GCP desde el proceso actual, reportando la identidad del proveedor, el contexto de la instancia y fragmentos de credenciales acotados cuando son accesibles.
process_tokens_list	Enumera tokens accesibles de procesos en ejecución, mostrando el contexto de usuario, tipo de token (primario/impersonación) y nivel de suplantación. Soporta filtrado opcional por PID o nombre de proceso. SeDebugPrivilege está deshabilitado por defecto para OPSEC.

amsi_etw_detect	Verifica la presencia de AMSI y ETW en el proceso actual detectando DLLs cargadas y exportaciones relacionadas con ETW. Útil para seleccionar objetivos con menos actividad de seguridad cuando se aplica ampliamente.
app_count	Cuenta el número de aplicaciones instaladas a través del registro, elimina duplicados y lo imprime. Aplicado a un gran número de beacons, nos permite inferir cosas sobre un dispositivo basado en diferencias en el conteo de aplicaciones.
applocker_policy	Enumera las configuraciones de política de AppLocker, colecciones de reglas y modos de aplicación escaneando las claves de registro relevantes.
asr_status	Enumera las reglas de Reducción de Superficie de Ataque (ASR) de Windows Defender desde ubicaciones del registro para identificar qué reglas ASR están configuradas, su estado de aplicación (Bloquear/Auditar/Advertir/Deshabilitado) y la fuente de la política (Intune/MDM vs Directiva de Grupo).
bitlocker_status	Enumera el estado de cifrado de BitLocker, configuraciones de política y ubicaciones de respaldo de clave de recuperación escaneando claves de registro.
mdm_policy_artifacts	Usa un modelo de puntuación para evaluar la postura de inscripción MDM en sistemas Windows evaluando indicadores que incluyen estado de unión, tareas programadas, configuración de políticas y artefactos de inscripción.
netjoin_query	Consulta información de unión a dominio de Windows y detalles de la estación de trabajo, identificando si el sistema está unido a un dominio o en un grupo de trabajo.
power_state	Identifica el factor de forma del host como Portátil, Escritorio, Tablet, Servidor, Integrado o Desconocido usando datos del chasis SMBIOS con una alternativa de estado de energía.
proxy_enum	Enumera el estado de configuración del proxy de Windows a través de WinINET, WinHTTP, claves de política, variables de entorno, indicadores WPAD, configuraciones de Chrome y valores defaultProxy de .NET.
tray_scout	Reporta el ejecutable del host de la barra de tareas y enumera los tooltips de los iconos de notificación de la bandeja del sistema, con rutas de imagen completas opcionales para el host y el proceso propietario de cada icono.
user_idle	Obtiene el tiempo de inactividad del usuario desde la última entrada y el uso de recursos GUI (identificadores GDI/USER) en el proceso actual para inteligencia de temporización.
wallpaper_enum	Enumera la ruta actual del fondo de pantalla del escritorio para cada monitor conectado usando la interfaz COM moderna IDesktopWallpaper. Los fondos de pantalla centralizados a veces están en recursos compartidos SMB internos o servidores de imágenes, revelando rutas de red, relaciones de confianza de dominio y aplicación de políticas sin tocar el disco ni la red.
wef_detect	Detecta la configuración de Reenvío de Eventos de Windows (WEF), que indica registro centralizado. Si se encuentra, indica que los eventos de seguridad se están reenviando a un servidor central.
window_list	Enumera los títulos de todas las ventanas visibles en el escritorio del usuario actual, incluyendo opcionalmente los IDs de proceso (PID).
wsc_status	Consulta el estado de salud del Centro de Seguridad de Windows, incluyendo Antivirus, Cortafuegos, Anti-Spyware, Servicio WSC, Actualización Automática, Configuración de Internet y Control de Cuentas de Usuario.
win_version	Este BOF consulta el registro y las API del sistema para proporcionar una visión general concisa pero detallada de la instalación de Windows.

com_probe	Sondear si un objeto COM puede ser instanciado a partir de un CLSID dado.
firewall_rule	Agregar, eliminar o consultar reglas del Cortafuegos de Windows a través de la API COM (INetFwPolicy2) sin generar netsh.exe o cmd.exe. Útil para pivotar dentro de redes.
port_scan	Escanea un único host IPv4 en busca de puertos TCP y/o UDP abiertos mediante Winsock con listas de puertos acotadas, tiempos de espera configurables y una salida concisa de puertos abiertos.
service_control	Gestiona servicios locales de Windows a través de SCM: consultar (lista limitada o servicio único), crear, iniciar, detener, eliminar y configurar acciones de fallo. Se requieren derechos elevados normalmente para los cambios.
wevt_logon_enum	Enumera eventos de inicio de sesión recientes (exitosos/fallidos) del registro de seguridad (IDs de Evento 4624,4625,4672) a través de la API wevtapi e imprime el nombre/IP de la estación de trabajo remota más el nombre de usuario objetivo.

Más Populares

Adrenaline