SHAD0W

SHAD0W est un framework C2 modulaire conçu pour opérer avec succès dans des environnements matures.

Il utilise toute une série de méthodes pour contourner les EDR et les AV tout en permettant à l'opérateur de continuer à utiliser les outils et les techniques qu'il maîtrise. Il est propulsé par Python 3.8 et C, et utilise Donut pour la génération de charges utiles. En utilisant Donut combiné aux capacités d'injection de processus de SHAD0W, l'opérateur peut exécuter des assemblies .NET, des DLL, des EXE, du JS, du VBS ou des XSL entièrement en mémoire. Des appels système résolus dynamiquement sont massivement utilisés pour éviter le hooking d'API en espace utilisateur, l'anti-injection de DLL pour rendre plus difficile le chargement de code par l'EDR dans les beacons, et les méthodes d'atténuation officielles de Microsoft pour protéger les processus générés.

Consultez le wiki pour les instructions d'installation et d'utilisation.

Principales fonctionnalités de SHAD0W C2 :

• Conçu pour Docker – Fonctionne entièrement dans Docker, permettant une utilisation multiplateforme
• Extrêmement modulaire – Création facile de nouveaux modules pour interagir avec les beacons et leur assigner des tâches
• Communication C2 via HTTPS – Tout le trafic entre les beacons et le C2 est chiffré et transmis via HTTPS
• Protocole basé sur JSON – Possibilité de construire et d'utiliser des beacons personnalisés avec un protocole facile à implémenter
• Proxy et miroir en direct – Le serveur C2 peut refléter n'importe quel site web en temps réel, redirigeant tout le trafic non-C2 vers ce site, ce qui le rend moins suspect lorsqu'il est consulté via un navigateur web