PoshC2

PoshC2 es un framework C2 consciente de proxies utilizado para ayudar a los testers de penetración con red teaming, post-explotación y movimiento lateral.

PoshC2 está escrito principalmente en Python3 y sigue un formato modular que permite a los usuarios añadir sus propios módulos y herramientas, proporcionando un framework C2 extensible y flexible. De serie, PoshC2 incluye implantes en PowerShell/C# y Python2/Python3 con payloads escritos en PowerShell v2 y v4, código fuente en C++ y C#, una variedad de ejecutables, DLLs y shellcode raw, además de un payload en Python2/Python3. Estos permiten la funcionalidad C2 en una amplia gama de dispositivos y sistemas operativos, incluyendo Windows, *nix y OSX.

Otras características notables de PoshC2 incluyen:

• Soporte consistente y multiplataforma mediante Docker.
• Payloads altamente configurables, incluyendo tiempos de beacon predeterminados, jitter, fechas de finalización, user agents y más.
• Una gran cantidad de payloads generados de serie que se actualizan con frecuencia.
• Shellcode con bypass AMSI incorporado y parcheo de ETW para una alta tasa de éxito y sigilo.
• Reglas Apache Rewrite generadas automáticamente para su uso en un proxy C2, protegiendo su infraestructura C2 y manteniendo una buena seguridad operativa.
• Un formato modular y extensible que permite a los usuarios crear o editar módulos en C#, PowerShell o Python3 que pueden ejecutarse en memoria por los Implantes.
• Notificaciones al recibir un Implante exitoso a través de Pushover o Slack.
• Una ayuda contextual completa y mantenida, y un prompt inteligente con autocompletado contextual, historial y sugerencias.
• Comunicaciones completamente cifradas, protegiendo la confidencialidad e integridad del tráfico C2 incluso al comunicarse a través de HTTP.
• Formato Cliente/Servidor que permite a varios miembros del equipo utilizar un solo servidor C2.
• Registro extensivo. Cada acción y respuesta se marca con tiempo y se almacena en una base de datos con toda la información relevante, como usuario, host, número de implante, etc. Además, la salida del servidor C2 se registra directamente en un archivo separado.
• Implantes sin PowerShell que no utilizan System.Management.Automation.dll, usando C# o Python2/Python3.
• Un proxy SOCKS gratuito y de código abierto que utiliza SharpSocks
• Comunicaciones HTTP(S) y mediante named pipes SMB para implantes, combinadas con encadenamiento de implantes (Implant Daisy-chaining) para alcanzar redes que no tienen acceso a internet.

Documentación

Mantenemos la documentación de PoshC2 en https://poshc2.readthedocs.io/en/latest/

Encuéntranos en #Slack - poshc2.slack.com (para solicitar una invitación, envía un correo electrónico a [email protected])

Instalación

Puedes instalar PoshC2 directamente o utilizar las imágenes Docker; las instrucciones para ambos métodos están a continuación.

Instalación directa en hosts Kali

Se proporciona un script de instalación para instalar PoshC2:

*** Script de instalación de PoshC2 ***
Uso:
./Install.sh -b <rama git> -p <Directorio donde clonar PoshC2>

Los valores predeterminados son la rama master en /opt/PoshC2

Se requieren privilegios elevados, ya que el script de instalación realiza actualizaciones e instalaciones de apt.

curl -sSL https://raw.githubusercontent.com/nettitude/PoshC2/master/Install.sh | sudo bash

Alternativamente, se puede clonar el repositorio y ejecutar el script de instalación manualmente.

sudo ./Install.sh

Puedes establecer manualmente el directorio de instalación de PoshC2 pasándolo al script Install.sh como argumento -p. El valor predeterminado es /opt/PoshC2:

curl -sSL https://raw.githubusercontent.com/nettitude/PoshC2/master/Install.sh | sudo bash -s -- -p /root/PoshC2

Funciones de vanguardia

Queremos mantener la rama master estable para que los usuarios puedan confiar en ella cuando sea necesario. Por esta razón, los cambios a menudo pueden estar completos en cuanto a funcionalidad pero aún no presentes en master, ya que no han sido probados completamente y aprobados.

Si deseas ver las próximas funciones de PoshC2, puedes consultar la rama dev, o cualquier rama de función individual derivada de dev.

Dado que las funciones sí se prueban antes de fusionarse en dev, esta rama debería seguir siendo bastante estable y los operadores pueden optar por usar esta rama o una rama de función particular para sus compromisos. Sin embargo, esto sacrifica estabilidad por nuevas funciones, así que hazlo bajo tu propio criterio.

Para usar dev o una rama de función, pasa el nombre de la rama al script Install.sh como argumento -b:

curl -sSL https://raw.githubusercontent.com/nettitude/PoshC2/dev/Install.sh | sudo bash -s -- -b dev

Ten en cuenta que la URL también incluye el nombre de la rama (aquí dev en lugar de master).

Instalación para Docker

También puedes ejecutar PoshC2 usando Docker, lo que permite una ejecución más estable y facilita su uso en otros sistemas operativos.

La instalación con Docker no clona PoshC2, ya que se utilizan las imágenes de PoshC2 en Docker Hub, por lo que solo se realiza una instalación mínima de algunas dependencias y scripts.

Para empezar, instala Docker en el host y luego agrega el directorio de proyectos de PoshC2 a Docker como un directorio compartido si es necesario para tu sistema operativo. Por defecto, esto es /var/poshc2 en *nix y /private/var/poshc2 en Mac.

Hosts basados en Kali

Script de instalación:

*** Script de instalación de PoshC2 para Docker ***
Uso:
./Install-for-Docker.sh -b <rama git>

El valor predeterminado es la rama master

Se requieren privilegios elevados, ya que el script de instalación realiza instalaciones de scripts.

curl -sSL https://raw.githubusercontent.com/nettitude/PoshC2/master/Install-for-Docker.sh | sudo bash

Para usar las ramas dev o de función con Docker, descarga el Install-for-Docker.sh de la rama correspondiente y pasa el nombre de la rama como argumento:

curl -sSL https://raw.githubusercontent.com/nettitude/PoshC2/BRANCHNAME/Install-for-Docker.sh | sudo bash -s -- -b BRANCHNAME

Windows

En Windows, importa el módulo de PowerShell PoshC2.psm1.

Import-Module -DisableNameChecking C:\PoshC2\resources\scripts\PoshC2.psm1
posh-project -PoshC2Dir "C:\PoshC2" -LocalPoshC2ProjectDir "C:\PoshC2_Project" -Arg1 "-n" -Arg2 "newproject"
posh-config -PoshC2Dir "C:\PoshC2" -LocalPoshC2ProjectDir "C:\PoshC2_Project"
posh-server -PoshC2Dir "C:\PoshC2" -LocalPoshC2ProjectDir "C:\PoshC2_Project"
posh -PoshC2Dir "C:\PoshC2" -LocalPoshC2ProjectDir "C:\PoshC2_Project" username

Ejecutar PoshC2

Crea un nuevo proyecto:

posh-project -n <nombre-del-proyecto>

Los proyectos se pueden cambiar o listar usando este script:

[*] Uso: posh-project -n <nombre-del-nuevo-proyecto>
[*] Uso: posh-project -s <proyecto-al-que-cambiar>
[*] Uso: posh-project -l (lista proyectos)
[*] Uso: posh-project -d <proyecto-a-eliminar>
[*] Uso: posh-project -c (muestra el proyecto actual)

Edita la configuración de tu proyecto:

posh-config

Inicia el servidor PoshC2:

posh-server

Alternativamente, inícialo como un servicio:

posh-service

Por separado, ejecuta el ImplantHandler para interactuar con los implantes:

posh -u <nombre-de-usuario>

Consulta https://poshc2.readthedocs.io/en/latest/ para obtener la documentación completa de PoshC2.

Especificar una etiqueta de Docker