Lockjaw - Framework C2 avanzado para Windows (v0.2.15)

Lockjaw es un framework de comando y control (C2) avanzado y modular diseñado para compromisos de red team, simulaciones adversarias y operaciones sigilosas. Utiliza una arquitectura moderna de lenguaje dividido: un Teamserver de Rust de alta concurrencia acoplado con un implante Zig evasivo y sin dependencias, y stagers de código independiente de la posición (PIC) en ensamblador puro.

ESTE ES SOFTWARE ALFA Úselo bajo su propio riesgo. No todas las características han sido probadas, el código no ha sido revisado. Hay errores y ciertos comandos pueden no funcionar.

Lo siguiente ha sido probado:

• Comunicaciones entre Teamserver y cliente
• Implante EXE
• Comandos del agente para reconocimiento
• Inyección de procesos

El soporte de BOF no ha sido probado.

---

Descripción general de la arquitectura

                      +------------------------------------+
                      |       Operator CLI (Python)        |
                      |   Async TUI / Prompt-Toolkit       |
                      +-----------------+------------------+
                                        | HTTPS / REST API (Port 50051)
                                        v
                      +------------------------------------+
                      |       Lockjaw Teamserver           |
                      |          (Rust / Tokio)            |
                      |  - SQLite Storage (SQLx)           |
                      |  - Dynamic Zig Cross-Compiler      |
                      |  - Multi-Transport Listener Manager|
                      +--------+------------------+--------+
                               |                  |
                    HTTPS / HTTP                  DNS (UDP 53)
                    (WinHTTP)                     (Hickory DNS / Base32)
                               |                  |
                               v                  v
                      +------------------------------------+
                      |       Lockjaw Implant (Zig)        |
                      |  - Indirect Syscalls (Halo's Gate) |
                      |  - Reflective & PoolParty Injection|
                      |  - In-Memory BOF Execution Engine  |
                      |  - Ghost AMSI Bypass (HWBP + VEH)  |
                      |  - IAT-Clean Dynamic API Resolv.   |
                      |  - RC4-Encrypted Communications    |
                      +------------------------------------+

• Teamserver (Rust): Construido sobre Tokio y Axum con Rustls. Gestiona los checkins de los agentes, el despacho de tareas, los ciclos de vida de los listeners y la persistencia en SQLite. Integra una canalización de compilación cruzada de payloads bajo demanda que aprovecha Zig y GNU objcopy.
• Implante (Zig y ensamblador): Compilado de forma cruzada de forma nativa para x86_64-windows. Autónomo, sin dependencias externas del runtime de C, ejecutándose en el subsistema .Windows (sin interfaz, sin ventana de consola).
• Stagers (ensamblador PIC y PowerShell): Stager de ensamblador independiente de la posición x64 reforzado (pic_stager.s) con arquitectura de pila segura, preservación del espacio de sombra y recorrido dinámico del PEB, junto con cradles de descarga ligeros en PowerShell.
• Operator CLI (Python 3): TUI asíncrona construida sobre prompt_toolkit que ofrece alertas de checkin en tiempo real, indexación numérica, coincidencia por prefijo, gestión de contexto y sincronización automática de carga/descarga de archivos.

---

Capacidades y características principales

1. Evasión y anti-análisis

• Syscalls indirectas (Hell's Gate + Halo's Gate):
  • Extrae dinámicamente los System Service Numbers (SSN) directamente de ntdll.dll en memoria usando hashing DJB2.
  • Recupera syscalls hookeadas mediante el escaneo de vecinos de Halo's Gate (hasta 32 slots por encima y por debajo).
  • Salta directamente a gadgets legítimos syscall; ret que residen en la sección .text de ntdll.dll, evadiendo hooks de API en modo usuario, inspección de la pila de llamadas y comprobaciones del origen de la dirección de retorno.
• Bypass de AMSI "Ghost" (HWBP + VEH):
  • Neutralizador de AMSI en memoria usando Hardware Breakpoints (DR0/DR7) y Vectored Exception Handling (AddVectoredExceptionHandler).
  • Dispara una excepción interna (0xDEADBEEF) para configurar los registros de depuración en AmsiScanBuffer.
  • Captura EXCEPTION_SINGLE_STEP, pone RAX a cero (AMSI_RESULT_CLEAN = 0) y devuelve limpiamente la ejecución al llamador.
  • Modifica cero bytes de memoria .text y evita los vectores de detección de SetThreadContext.
• 100% IAT-Clean y resolución dinámica de API:
  • Cero importaciones estáticas para APIs sensibles de Win32/NT.
  • Resuelve módulos recorriendo el PEB (InLoadOrderModuleList) y resuelve direcciones de funciones dinámicamente mediante hashing sensible a mayúsculas (djb2) e insensible a mayúsculas (djb2_i) en tiempo de compilación.
• Comunicaciones cifradas:
  • Cifrado de flujo simétrico RC4 en todas las comunicaciones agente-teamserver (checkins, tasking, resultados).
  • Identificación única del agente derivada del PID, TID y nombre de la máquina mediante un generador congruencial lineal (LCG).
• Huella sigilosa:
  • Opera como una aplicación GUI del subsistema .Windows.
  • Suprime las ventanas de consola mediante ShowWindow(hWnd, SW_HIDE).
  • Sleep de beacon configurable con algoritmos de jitter aleatorizado.
  • Omisión automática de errores de certificado SSL (SECURITY_IGNORE_ALL_CERT_ERRORS) que permite el uso operativo con certificados TLS autofirmados y domain fronting.
• Autodestrucción:
  • Apaga el proceso del agente y lanza un comando de limpieza asíncrono y desacoplado (ping 127.0.0.1 -n 3 > nul & del /f /q ...) para borrar de forma segura el binario del disco.

2. Migración e inyección de procesos

• Mapeo manual reflectivo directo (migrate <pid> reflective):
  • Mapea manualmente la imagen ejecutable del agente en un proceso objetivo remoto usando secciones de memoria compartida con doble mapeo (NtCreateSection + NtMapViewOfSection mapeadas RW localmente y RWX remotamente).
  • Evita asignaciones sospechosas de memoria virtual remota (NtAllocateVirtualMemory / NtWriteVirtualMemory).
  • Realiza la copia local de cabeceras PE, el mapeo de secciones, las correcciones delta de reubicación de base y la resolución de la tabla de importaciones directamente en la memoria compartida antes de iniciar la ejecución del hilo remoto mediante syscalls indirectas NtCreateThreadEx.
  • Validación de arquitectura integrada para protegerse contra desajustes de inyección de 32 bits (WOW64).
• Inyección reflectiva PoolParty (migrate <pid> reflective_poolstomp):
  • Combina el mapeo reflectivo de secciones con la inyección de procesos avanzada PoolParty.
  • Enumera los handles de procesos remotos mediante NtQuerySystemInformation para descubrir las factorías de workers del thread pool existentes (TpWorkerFactory).
  • Consulta WorkerFactoryBasicInformation, sobrescribe el StartRoutine de la factoría con un trampolín de ejecución y desencadena la ejecución del agente incrementando WorkerFactoryThreadMinimum mediante NtSetInformationWorkerFactory.
  • Cero creación de nuevos hilos: Evita por completo la telemetría y las alertas ancladas en CreateRemoteThread / NtCreateThreadEx (por ejemplo, Sysmon Event ID 8, proveedores de inteligencia de amenazas de ETW).