notRDP

Un plugin de Havoc C2 que crea un escritorio alternativo invisible de Windows, lo transmite a un visor basado en navegador y admite interacción completa de ratón/teclado como RDP, pero invisible para el usuario objetivo.

Cómo funciona

1. Crea un escritorio oculto mediante CreateDesktopW y lanza explorer.exe en él
2. Captura el escritorio oculto usando la composición de PrintWindow y transmite fotogramas JPEG
3. Inyecta entrada de ratón/teclado mediante PostMessage directamente a las ventanas del escritorio oculto
4. Renderiza el flujo en un visor de navegador con captura de entrada completa

Requisitos previos

Compilador cruzado: x86_64-w64-mingw32-gcc (y opcionalmente i686-w64-mingw32-gcc para x86)

Instalar en Ubuntu / Debian / Kali

sudo apt update && sudo apt install gcc-mingw-w64-x86-64 gcc-mingw-w64-i686

Instalar en Arch

sudo pacman -S mingw-w64-gcc

Instalar en Fedora

sudo dnf install mingw64-gcc mingw32-gcc

Compilación

make        # x64 only
make both   # x64 + x86
make clean  # remove .o files

Manual (sin Make)

x86_64-w64-mingw32-gcc -c -Wall -Wno-unused-variable -o screenshot.x64.o screenshot.c
x86_64-w64-mingw32-gcc -c -Wall -Wno-unused-variable -o screeninput.x64.o screeninput.c
x86_64-w64-mingw32-gcc -c -Wall -Wno-unused-variable -o notrdp_mgr.x64.o notrdp_mgr.c

Instalación

1. Compila los BOFs
2. En el cliente de Havoc: Scripts Manager > Load Script > notrdp.py

Uso

notrdp [port] [quality]   # Start hidden desktop session
notrdp-close              # Close session

Plugin notrdpuser

Un plugin variante que captura la sesión de escritorio real del usuario en lugar de crear una oculta. Incluye captura de pulsaciones de teclas compatible con opsec mediante sondeo de GetAsyncKeyState integrado en el BOF de captura de pantalla. Empaquetado como notrdpuser.zip en el mismo repositorio, extrae y carga notrdpuser.py de la misma manera.

notrdpuser [port] [quality]   # Start user desktop streaming + keystroke capture
notrdpuser-close              # Close session