RedCaddy

Redirector de C2 basado en caddy

Tabla de contenido

• Resumen
• Características
• Nota
• Inicio rápido
• Paso a paso
• Referencias

Resumen

Genera caddyfile con perfiles maleables de C2

Características

• Bloquear IP por país GEOIP
• Permitir peticiones mediante coincidencia de cabeceras
• Lista negra de user-agent e IP
• Soporte de múltiples redirecciones
• Warden del puerto del TeamServer

Nota

• El "redwarden_parser.py" en modules proviene de RedWarden de mgeeky
• Gran parte de la inspiración proviene de este artículo: 🇬🇧 Cargando los palos de golf de Tortellini
• Listas negras de IP de Listas negras de IP de RedGuard
• Listas negras de User-Agent de listas negras de UA de mitchellkrogza
• self-signed-cert.py modificado a partir de CarbonCopy

Inicio rápido

• Generar un certificado autofirmado
• Compilar el caddy personalizado con módulos específicos (opcional)
• Asegúrate de que set trust_x_forwarded_for "true"; ya esté habilitado en el perfil maleable de C2
• Copia tu perfil maleable de C2 en RedCaddy
• Añade tus reglas de redirección en los archivos (Ej. chains.list)
• Por último, genera el Caddyfile con el feo script de Python.

Paso a paso

• 1. Genera certificados autofirmados con "self-signed-cert.py" :
  python3 self-signed-cert.py -t [Https Server]
  Como puedes ver, se generan localhost.* en core/cert-out
  

• 2. Habilita set trust_x_forwarded_for "true"; en el perfil maleable de C2
  

• 3. Es necesario definir las cabeceras Host y Referer en cada bloque de cliente del perfil maleable de C2
  ⚠️ Nota: el subdominio falso debe existir en el atributo SAN (subject alternative name) de los certificados autofirmados
  

• 4. Copia el perfil de C2 en RedCaddy
  Uso el jquery-c2.4.3.profile de threatexpress como demostración
  

• 5. Edita las reglas de redirección en "chains.list"
  443:https:192.168.128.64:10001 significa que el tráfico entrante desde el puerto *:443 se redirige a localhost (backend de C2)

git clone https://github.com/XiaoliChan/RedCaddy-core.git
cd cmd/caddy
go get github.com/aksdb/caddy-cgi/v2
go get github.com/XiaoliChan/caddy-maxmind-geolocation@self
CGO_ENABLED=0 go build
upx --best --lzma caddy

• P: ¿Por qué no usar el formato json o yaml?
  R: Lo siento, no sé cómo escribir un caddyfile en formato json/yaml.

• P: ¿Se puede responder con un 404 en rutas que no coinciden?
  R: Bueno, caddy no puede hacer esto ¯\(ツ)/¯.

Referencias

• Parser de perfiles Malleable C2
• 🇬🇧 Cargando los palos de golf de Tortellini
• Escalonamiento de Cobalt
• Cómo crear certificados autofirmados
• Control de acceso de Caddy