SHAD0W

SHAD0W es un framework C2 modular diseñado para operar con éxito en entornos maduros.

Utiliza una variedad de métodos para evadir EDR y AV, permitiendo al operador seguir usando las herramientas y técnicas que conoce. Está impulsado por Python 3.8 y C, y usa Donut para la generación de payloads. Al emplear Donut junto con las capacidades de inyección de procesos de SHAD0W, proporciona al operador la capacidad de ejecutar ensamblados .NET, DLLs, EXEs, JS, VBS o XSLs completamente en memoria. Se usan intensivamente syscalls resueltas dinámicamente para evitar el hooking de API en modo usuario, anti inyección de DLL para dificultar que el EDR cargue código en los beacons, y métodos oficiales de mitigación de Microsoft para proteger los procesos generados.

Consulte la wiki para instrucciones de instalación y uso.

Características principales de SHAD0W C2:

• Construido para Docker - Funciona completamente dentro de Docker permitiendo su uso multiplataforma
• Extremadamente modular - Fácil crear nuevos módulos para interactuar y enviar tareas a los beacons
• Comunicación C2 por HTTPS - Todo el tráfico entre los beacons y el C2 está cifrado y se transmite sobre HTTPS
• Protocolo basado en JSON - Se pueden construir y usar beacons personalizados con un protocolo fácil de implementar
• Proxy y espejo en vivo - El servidor C2 puede reflejar cualquier sitio web en tiempo real, redirigiendo todo el tráfico no C2 a ese sitio, haciéndolo parecer menos sospechoso cuando se ve en un navegador web
• CLI moderno - La CLI está construida sobre prompt-toolkit