Nimbo-C2

• Nimbo-C2
• Acerca de
• Características
• Instalación
  • Método fácil
  • Método más fácil
• Uso
• Limitaciones, Advertencias, Notas
• Contribución

Acerca de

Nimbo-C2 es otro framework C2 (simple y ligero).

El agente de Nimbo-C2 soporta Windows x64 y Linux. Está escrito en Nim, con algo de uso de .NET en Windows (cargando dinámicamente el CLR en el proceso). Nim es potente, pero interactuar con Windows es mucho más fácil y robusto usando PowerShell, por lo que se hizo esta combinación. El agente Linux es más simple y solo es capaz de comandos básicos, incluida la carga de ELF mediante la técnica memfd.

Todos los componentes del servidor están escritos en Python:

• Listener HTTP que gestiona los agentes.
• Builder que genera los payloads de los agentes.
• Nimbo-C2 es el componente C2 interactivo que los gobierna a todos.

Mi trabajo no sería posible sin el gran trabajo previo realizado por otros, listados en créditos.

Características

• Construir payloads EXE, DLL, ELF.
• Configuración y cadenas del implante cifradas usando NimProtect.
• Empaquetar payloads usando UPX y ofuscar los nombres de las secciones PE (UPX0, UPX1) para dificultar la detección y descompresión.
• Comunicación HTTP cifrada (AES en modo CBC, clave hardcodeada en el agente y configurable mediante config.jsonc).
• Autocompletado en la consola C2 para una interacción conveniente.
• Comandos de archivo y registro.
• Ejecución de comandos PowerShell en memoria.
• Comandos de descarga y subida de archivos.
• Comandos de descubrimiento integrados.
• Captura de pantalla, robo de portapapeles, grabación de audio y keylogger.
• Parcheo de ETW y AMSI usando syscalls indirectas.
• Volcado de hashes LSASS y SAM.
• Inyección de shellcode usando syscalls indirectas.
• Ejecución de ensamblados .NET en línea.
• Capacidades de persistencia.
• Métodos de omisión de UAC.
• Suplantación de tokens y getsystem.
• Establecer el proceso del implante como crítico (BSOD al terminarlo).
• (Linux) Carga de ELF usando memfd en 2 modos.
• ¡Y más!

Instalación

Advertencia: Nimbo-C2 está diseñado para ejecutarse solo dentro del contenedor Docker proporcionado

Método fácil

Tenga en cuenta que instalar de esta manera puede causar problemas o incompatibilidad en el futuro, ya que la imagen Docker actualmente no impone versiones de lenguajes y librerías, por lo que considere pasar al siguiente método.

1. Clonar el repositorio y acceder con cd

git clone https://github.com/itaymigdal/Nimbo-C2
cd Nimbo-C2

2. Construir la imagen Docker

docker build -t nimbo-dependencies .

3. Acceder nuevamente a los archivos fuente con cd y ejecutar la imagen Docker de forma interactiva, exponer el puerto 80 y montar el directorio de Nimbo-C2 en el contenedor (para acceder fácilmente a todos los archivos del proyecto, modificar config.jsonc, descargar y subir archivos de los agentes, etc.). Para Linux reemplace ${pwd} con $(pwd).

cd Nimbo-C2
docker run -it --rm -p 80:80 -v ${pwd}:/Nimbo-C2 -w /Nimbo-C2 nimbo-dependencies

Método más fácil

Aquí estamos usando la imagen Docker ya construida, probada y almacenada - recomendado.

git clone https://github.com/itaymigdal/Nimbo-C2
cd Nimbo-C2/Nimbo-C2
docker run -it --rm -p 80:80 -v ${pwd}:/Nimbo-C2 -w /Nimbo-C2 itaymigdal/nimbo-dependencies

Para Linux reemplace ${pwd} con $(pwd).

Uso

Primero, edite config.jsonc según sus necesidades.

Luego ejecute con: python3 Nimbo-C2.py

Use el comando help para cada pantalla y la finalización con tabulador.

Limitaciones, Advertencias, Notas

• Aunque la comunicación HTTP está cifrada, el encabezado 'user-agent' está en texto plano y contiene el ID real del agente, lo que algunos productos pueden marcar como sospechoso.
• Envuelva las rutas o argumentos con espacios entre comillas dobles.
• CLR funciona con el token de acceso primario, por lo que impersonate/getsys no afectan a iex/assembly.
• Los comandos audio, lsass (excepto el método Evil Lsass Twin) guardan temporalmente artefactos en disco antes de exfiltrarlos y eliminarlos.
• Si tuneliza el servidor Nimbo (por ejemplo, si lo expone a través de Pinggy), use TCP, no HTTP.

Contribución

Este software puede ser inestable o tener errores en algunos casos de uso, ya que no se ha probado completa y constantemente. Siéntase libre de abrir issues, PR's, y contactarme por cualquier motivo en (Gmail | Linkedin)