Adaptix Serverless C2

Plugin de transporte C2 sin servidor para AdaptixC2 v1.2 que utiliza AWS Lambda + DynamoDB como infraestructura de retransmisión. El tráfico del agente aparece como HTTPS saliente hacia endpoints de AWS, sin requerir puertos entrantes ni IPs públicas en el servidor C2.

Arquitectura

Kharon Agent (target)
    |
    | HTTPS GET/POST (outbound only, randomly alternated)
    v
AWS Lambda Function URL (stateless relay)
    |
    | Store inbound / Poll outbound (up to 8s)
    v
DynamoDB (inbound + outbound tables)
    ^
    | Poll every 5 seconds
    |
Listener Plugin (inside AdaptixC2)
    |
    | TsAgent API + TsExtenderData (key persistence)
    v
AdaptixC2 Teamserver + UI

Flujo de datos:

1. El agente Kharon envía un check-in cifrado mediante HTTPS a la URL de la función Lambda
2. Lambda almacena los datos sin procesar en la tabla inbound de DynamoDB
3. Lambda consulta la tabla outbound durante un máximo de 8 segundos (salva la brecha asíncrona para el registro)
4. Si existe una respuesta, Lambda la devuelve y la marca como entregada
5. El plugin de listener de AdaptixC2 consulta la tabla inbound de DynamoDB en busca de registros no procesados
6. El listener analiza el protocolo de comunicación de Kharon (cifrado con LokyCrypt), registra/actualiza el agente
7. Cuando el operador emite comandos, el listener los cifra en el formato de Kharon y los almacena en outbound
8. En el siguiente check-in, Lambda devuelve la respuesta al agente

Componentes

Componente	Ruta	Propósito
Agente Kharon	agent/	Implante Kharon incluido (código fuente C++)
Terraform	deploy/aws/	Infraestructura de Lambda + DynamoDB + IAM + KMS
Relay Lambda	deploy/aws/lambda/	Proxy sin estado de HTTP a DynamoDB con sondeo de salida
Plugin de listener	listener/	Plugin de AdaptixC2, sondeo de DynamoDB, puente de protocolo Kharon
Configuraciones de Kharon	kharon/	Registro de comandos AXS y configuración para los extensores de agente/listener
Parches	patches/	Parches del código fuente de AdaptixC2 para el soporte de BeaconServerless
Perfiles	profiles/	Perfil HTTP maleable para la URL de Lambda
Scripts	scripts/	Instalación, compilación, despliegue, desinstalación

Requisitos previos

• Cuenta de AWS con credenciales configuradas (aws configure)
• Terraform >= 1.5.0
• Go >= 1.23 (el plugin de listener requiere que GOEXPERIMENT coincida con el binario del servidor)
• AdaptixC2 v1.2 instalado
• clang++ con objetivos mingw: apt install clang lld
• Ensamblador NASM: apt install nasm
• objcopy: apt install binutils-mingw-w64-x86-64

Configuración de la cuenta de AWS

1. Crear un usuario de IAM para el despliegue

En la consola de AWS:

1. Ve a IAM > Users > Create user
2. Asígnale el nombre adaptix-deployer
3. Selecciona Attach policies directly
4. Adjunta estas políticas administradas de AWS:
   • AmazonDynamoDBFullAccess
   • AWSLambda_FullAccess
   • IAMFullAccess
   • CloudWatchLogsFullAccess
5. Añade una política en línea para KMS:
   • Haz clic en Add permissions > Create inline policy > JSON
   • Pega: {"Version":"2012-10-17","Statement":[{"Effect":"Allow","Action":"kms:*","Resource":"*"}]}
   • Asígnale el nombre KMSFullAccess
6. Crea el usuario y luego ve a Security credentials > Create access key
7. Elige Command Line Interface (CLI)
8. Guarda el Access Key ID y el Secret Access Key

2. Configurar la CLI de AWS

aws configure
# AWS Access Key ID: <paste access key>
# AWS Secret Access Key: <paste secret key>
# Default region: us-east-1
# Default output format: json

Verificar:

aws sts get-caller-identity

Instalación

Paso 1: Desplegar la infraestructura de AWS

# Build the Lambda relay binary (cross-compiled for Amazon Linux)
./scripts/build_relay.sh

# Deploy Lambda + DynamoDB + IAM with Terraform
./scripts/deploy_infra.sh

# Note the Lambda Function URL from the output, e.g.:
# lambda_function_url = "https://xxxxx.lambda-url.us-east-1.on.aws"

Paso 2: Instalar el plugin en AdaptixC2

./scripts/install.sh /path/to/AdaptixC2

Este script hará lo siguiente:

1. Hacer una copia de seguridad de tu directorio dist/ (certificados, base de datos, perfil)
2. Aplicar los parches de código fuente para el soporte del conector BeaconServerless
3. Detectar los flags GOEXPERIMENT del binario del servidor
4. Compilar el plugin del listener (.so) con los flags coincidentes
5. Recompilar el servidor AdaptixC2 y los extenders
6. Restaurar tus archivos respaldados (certificados, base de datos, perfil)
7. Instalar el plugin del listener serverless + las configuraciones del extender Kharon
8. Crear/actualizar el servicio systemd
9. Reiniciar AdaptixC2

Paso 3: Configurar el listener en la GUI

1. Inicia sesión en la interfaz web de AdaptixC2
2. Ve a Listeners y crea un nuevo listener BeaconServerless
3. Establece Lambda URL con la Function URL del Paso 1
4. Establece Relay API Key (debe coincidir con relay_api_key en tu terraform.tfvars)
5. Opcionalmente ajusta: AWS Region, Poll Interval (por defecto 5s), TTL Hours (por defecto 24)
6. Sube el perfil malleable desde profiles/lambda_default.json
7. Inicia el listener

Paso 4: Generar y ejecutar el payload

1. En la GUI, genera un agente Kharon seleccionando el listener BeaconServerless
2. Elige el formato (Exe, Dll, Svc) y la arquitectura (x64)
3. Ejecuta el payload en el objetivo
4. El agente debería registrarse en cuestión de segundos

Configuración

Variables de Terraform (deploy/aws/terraform.tfvars)

region        = "us-east-1"
function_name = "adaptix-relay"
relay_api_key = "your-secret-key-here"
tags = {
  Project = "adaptix-serverless"
}

Configuración del listener (GUI de AdaptixC2)

Campo	Descripción	Valor predeterminado
Región de AWS	Región donde se despliega la infraestructura	us-east-1
URL de Lambda	URL de la función desde la salida de Terraform	(obligatorio)
Clave de API del relay	Debe coincidir con relay_api_key de Terraform	(opcional)
Tabla de entrada	Tabla de DynamoDB para los check-ins de los agentes	adaptix-inbound
Tabla de salida	Tabla de DynamoDB para las respuestas del servidor	adaptix-outbound
Intervalo de sondeo	Frecuencia con la que se consulta DynamoDB (segundos)	5
Horas de TTL	Caducidad de los registros de DynamoDB	24

Detalles técnicos clave

Protocolo de comunicación de Kharon

El agente Kharon utiliza un protocolo binario personalizado sobre HTTP:

• Agente nuevo (registro): [36-byte UUID][encrypted_checkin_data][16-byte LokyCrypt key]
• Agente conectado (GetTask): [36-byte UUID][encrypted_payload] (sin clave al final)
• !Agente conectado (key stomping): Cuando el payload es pequeño, la clave de 16 bytes en TotalLen-16 se solapa con el área del UUID. Para un paquete de 44 bytes, la clave comienza en el desplazamiento 28, sobrescribiendo los bytes 28-35 del UUID y todos los datos cifrados.

El listener detecta los tres formatos y los maneja correctamente.

Bucle de sondeo de salida de Lambda