:shipit: Información: REC2 es un antiguo proyecto personal (principios de 2023) que no continué desarrollando. Forma parte de una lista de proyectos que me ayudaron a aprender Rust. Probablemente el código se considere obsoleto y no en su mejor forma. Quizás retome donde lo dejé #roadmap. Sin embargo, REC2 es totalmente funcional y permite ejecutar comandos en un objetivo Linux / macOS o Windows desde las APIs de VirusTotal y Mastodon.

REC2 (Rusty External C2)

logotipo

⚠️ Aviso legal: REC2 es solo para fines educativos. Úsalo bajo tu propio criterio; no me hago responsable de los daños causados. El uso de esta herramienta para atacar objetivos sin consentimiento mutuo previo es ilegal. Es responsabilidad del usuario final cumplir con todas las leyes locales, estatales y federales aplicables. No asumo ninguna responsabilidad ni soy responsable de ningún uso indebido o daño causado por esta herramienta.

🔴 Redteamer: Comparto contigo una versión beta de uno de mis C2 externos que usan virustotal y mastodon

🔵 Blueteamer: Puedes encontrar un ejemplo de reglas yara para los implantes de REC2 en este mismo repositorio

🧮 Resumen

Descripción
Uso y Demo
¿Cómo compilarlo?
- Usando Makefile
- Usando Dockerfile
Hoja de ruta
Enlaces

🏷️ Descripción

REC2, o Rusty External Command and Control, es una herramienta de Comando y Control (C2) versátil desarrollada en el lenguaje de programación Rust. Proporciona un medio discreto y eficaz para gestionar implantes remotos (clientes) en sistemas macOS, Linux y Windows. REC2 utiliza APIs de terceros como VirusTotal o Mastodon para transmitir mensajes cifrados con AES entre el servidor y los implantes, lo que permite a los atacantes operar de forma sigilosa a través de estos canales externos. Los implantes pueden monitorear trabajos pendientes, recuperarlos, descifrarlos, ejecutar tareas en el sistema objetivo y transmitir de forma segura los resultados a través de las mismas APIs. Usar estas APIs como intermediarios añade una capa extra de anonimización, lo que dificulta el rastreo hasta el atacante.

esquema

📺 Uso y Demo

servidor cliente.exe

Cambia algunos valores en implants/(mastodon,virustotal)/src/main.rs :

// (MASTODON or VIRUSTOTAL) TOKEN 
// <https://mastodon.be/settings/applications>
// <https://developers.virustotal.com/reference/authentication>
let token = lc!("TOKEN").to_owned();
// (MASTODON or VIRUSTOTAL) FULL URL
//let full_url = lc!("https://mastodon.xx/@username/100123451234512345").to_owned();
let full_url = lc!("https://www.virustotal.com/gui/file/99ff0b679081cdca00eb27c5be5fd9428f1a7cf781cc438b937cf8baf8551c4d").to_owned();

Genera el implante de Windows x64 como binario estático:

make virustotal_windows
make mastodon_windows

Puedes encontrar (rec2_virustotal_x64.exe o rec2_mastodon_x64.exe) en tu directorio actual.

Y para terminar, compila el binario del servidor:

make c2server_release
./server_release -h
./server_release VirusTotal -h
./server_release Mastodon -h

# Example
./server_release VirusTotal --url <URL> --token <TOKEN> --key <AES_KEY>

Ahora solo necesitas ejecutar el implante en tu objetivo.

🚜 ¿Cómo compilarlo?

Usando Makefile

Puedes usar el comando make para compilarlo para Linux, Windows o mac0S.

Más comandos en el Makefile:

REC2 Server:
usage: make c2server_debug
usage: make c2server_release
usage: make c2server_windows
usage: make c2server_windows_x64
usage: make c2server_windows_x86
usage: make c2server_linux
usage: make c2server_linux_aarch64
usage: make c2server_linux_x86_64
usage: make c2server_macos
usage: make c2server_arm_musl
usage: make c2server_armv7

VirusTotal implant:
usage: make virustotal_debug
usage: make virustotal_release
usage: make virustotal_windows
usage: make virustotal_windows_x64
usage: make virustotal_windows_x86
usage: make virustotal_linux
usage: make virustotal_linux_aarch64
usage: make virustotal_linux_x86_64
usage: make virustotal_macos
usage: make virustotal_arm_musl
usage: make virustotal_armv7

Mastodon implant:
usage: make mastodon_debug
usage: make mastodon_release
usage: make mastodon_windows
usage: make mastodon_windows_x64
usage: make mastodon_windows_x86
usage: make mastodon_linux
usage: make mastodon_linux_aarch64
usage: make mastodon_linux_x86_64
usage: make mastodon_macos
usage: make mastodon_arm_musl
usage: make mastodon_armv7

Dependencies:
usage: make install_windows_deps
usage: make install_macos_deps

Documentation:
usage: make c2server_doc
usage: make virustotal_doc
usage: make mastodon_doc

Cleaning:
usage: make clean

Usando Dockerfile

Compila REC2 con docker para asegurarte de tener todas las dependencias.

docker build --rm -t rec2 .

# Then to build C2 server:
docker run --rm -v ./:/usr/src/rec2 rec2 c2server_windows
docker run --rm -v ./:/usr/src/rec2 rec2 c2server_linux
docker run --rm -v ./:/usr/src/rec2 rec2 c2server_macos


# Then to build VirusTotal implant:
docker run --rm -v ./:/usr/src/rec2 rec2 virustotal_windows
docker run --rm -v ./:/usr/src/rec2 rec2 virustotal_linux
docker run --rm -v ./:/usr/src/rec2 rec2 virustotal_macos

# Then to build Mastodon implant:
docker run --rm -v ./:/usr/src/rec2 rec2 mastodon_windows
docker run --rm -v ./:/usr/src/rec2 rec2 mastodon_linux
docker run --rm -v ./:/usr/src/rec2 rec2 mastodon_macos

SHOW MORE

Usando Cargo

Necesitarás instalar Rust en tu sistema.

https://www.rust-lang.org/fr/tools/install

:warining: Necesitas exportar la variable LITCRYPT_ENCRYPT_KEY en tu terminal antes de compilarlo. (para la ofuscación de cadenas de los implantes)

export LITCRYPT_ENCRYPT_KEY="MYSUPERPASSWORD1234567890"
LITCRYPT_ENCRYPT_KEY="MYSUPERPASSWORD1234567890"

:warining: Necesitas cambiar AESKEY en implants/(virustotal,mastodon)/main.rs y cambiar URL y TOKEN.

Así es como se compilan las versiones "release" y "debug" usando el comando cargo.

git clone https://github.com/g0h4n/REC2
cd REC2

# Implants
# choise your implant Mastodon or VirusTotal

# implants/mastodon/Cargo.toml
# release version
cargo build --release --manifest --manifest-path implants/mastodon/Cargo.toml
# or debug version
cargo b --manifest-path implants/mastodon/Cargo.toml

# implants/virustotal/Cargo.toml
# release version
cargo build --release --manifest --manifest-path implants/virustotal/Cargo.toml
# or debug version
cargo b --manifest-path implants/virustotal/Cargo.toml

# Server
cargo build --release --manifest --manifest-path server/Cargo.toml
# or debug version
cargo b --manifest-path server/Cargo.toml

🚦 Hoja de ruta

CRIPTO
- AES
IMPLANTES
- IMPLANTES
SERVIDOR
- SESIÓN
- TRABAJOS
- Función de verificación de estado de trabajos asíncrona
- Función de verificación de estado de sesiones asíncrona
- Seleccionar sesiones actuales con sessions -i 1 para adjuntar la sesión número 1 [09/28/2023]
- Añadir el comando background [09/28/2023]
RED SOCIAL
- MASTODON: https://docs.rs/megalodon/latest/megalodon/
- VIRUSTOTAL: https://docs.rs/virustotal3/latest/virustotal3/
- SOUNDCLOUD:

🔗 Enlaces

https://github.com/D1rkMtr/VirusTotalC2

REC2

Más Populares

Manualmente para la versión estática de Linux x86_64

Manualmente para la versión estática de Windows desde Linux

Manualmente para la versión estática de macOS desde Linux

¿Cómo construir la documentación?