Revenant

Revenant est un agent tiers pour Havoc écrit en C, et basé sur Talon. Cet implant vise à étendre l'implant Talon en implémentant des méthodes d'exécution furtives, des capacités robustes et davantage de personnalisation.

Mise en place

Ce projet vise à être un implant Havoc C2 autonome. La fonctionnalité visée pour l'utilisateur final est la suivante :

***NOTE*** Depuis août 2023, Havoc 0.6 a cassé la prise en charge des agents tiers. @C5pider prévoit de rétablir cette fonctionnalité dans une prochaine version, mais pour le moment, utilisez Havoc 0.5 disponible ici : https://github.com/0xTriboulet/Havoc_0.5

HAVOC (DEV) A ÉTÉ CORRIGÉ POUR PRENDRE EN CHARGE LES AGENTS TIERS : https://github.com/HavocFramework/Havoc/tree/dev

1. Télécharger le dépôt
2. Dézipper Revenant.zip
3. pip install black
4. démarrer Havoc (./havoc server --profile ./profiles/havoc.yaotl -v --debug & ./havoc client )
5. Aller au dossier racine
6. python Revenant.py
7. ???
8. PROFIT

Compatibilité x86 et Win 7 :

• Désactiver NativeAPI

Note : Revenant utilise NtCreateUserProcess pour fournir les fonctionnalités NativeAPI. NtCreateUserProcess n'est pas pris en charge par x86 ou Win 7

Commandes

• pwsh - exécute des commandes via powershell.exe -> pwsh ls
• shell - exécute des commandes via cmd.exe -> shell dir
• download - télécharge le fichier vers le dossier loot -> download C:\test.txt
• upload - téléverse le fichier vers le dossier souhaité -> upload /home/test.txt C:\temp\test.txt
• exit - tue l'implant actuel -> exit

Options

• Sleep - Définir le sommeil en secondes
• Polymorphic - Activer/Désactiver le polymorphisme au moment de la compilation et de l'exécution
• Obfuscation - Obfusquer les chaînes avec XOR
• Arch - x86/x64
• Native - Utiliser NativeAPI là où elle est implémentée
• AntiDbg - Utiliser des vérifications anti-débogage à l'initialisation
• RandCmdIDs - Randomiser les identifiants de commandes
• Unhooking - Méthode GhostFart/Perun's Fart pour défaire le hook, exécuter la commande, puis refaire le hook

Note : RandCmdIDs randomise les CmdIDs dans l'exécutable de sortie. Revenant ne stocke PAS ces CmdIDs aléatoires ; ils ne fonctionneront qu'avec la session active. Si vous voulez un exécutable réutilisable, n'activez PAS cette option.

TODO:

• Ajouter exec-assembly
• Ajouter les commandes cd, ls, whoami
• Diminuer l'entropie