RedditC2
Abusando de la API de Reddit para alojar el tráfico C2, ya que la mayoría de los miembros del equipo azul usan Reddit, podría ser una excelente manera de hacer que el tráfico parezca legítimo.
🚫 [Aviso]: El uso de este proyecto es solo con fines educativos/de prueba. Usarlo en máquinas no autorizadas está estrictamente prohibido. Si alguien es encontrado usándolo con intenciones ilegales/maliciosas, el autor del repositorio no se hará responsable.
Requisitos
Instala la librería PRAW en python3:
pip3 install praw
Inicio rápido
Consulta la Guía de inicio rápido para empezar de inmediato.
Demostración
https://user-images.githubusercontent.com/37262788/206015879-589614d5-1a7a-4c21-a342-75bdfc677a61.mp4
Flujo de trabajo
Servidor del equipo
- Ve a la publicación específica de Reddit y publica un nuevo comentario con el comando ("in: ")
- Lee en busca de un nuevo comentario que incluya la palabra "out:"
- Si no se encuentra dicho comentario, vuelve al paso 2
- Analiza el comentario, descifra y lee su salida
- Edita el comentario existente a "executed", para evitar volver a ejecutarlo
Cliente
- Ve a la publicación específica de Reddit y lee el comentario más reciente que incluya "in:"
- Si no se detecta un nuevo comentario, vuelve al paso 1
- Extrae el comando del comentario, descifra y ejecuta localmente
- Cifra la salida del comando y responde al comentario respectivo ("out:" )
A continuación se muestra una demostración del tráfico C2 cifrado con XOR con fines de comprensión:
Resultados de escaneo
Dado que es un implante C2 personalizado, no es detectado por ningún antivirus ya que el comportamiento es completamente legítimo.
POR HACER
Créditos
Agradecimientos especiales a @T4TCH3R por trabajar conmigo y contribuir a este proyecto.
kleiton0x00/redditc2
