Source C → mingw-gcc → objets COFF → lien Crystal Palace → shellcode PIC brut → loader (Exe/Dll/Svc)

x64:
    load "Bin/obj/main.x64.o"           # Core PIC
        make pic +gofirst
        foreach %LIBS: mergelib %_       # Fusionne libtcg
        load "Bin/obj/entry.x64.o"       # Entry PICO
            make object
            load "Bin/obj/crypto.x64.o"  #   fusionne crypto dans entry
                merge
            load "Bin/obj/packer.x64.o"  #   fusionne packer dans entry
                merge
            export
            link "entry_module"          #   lie au marqueur de section
        load "Bin/obj/transport.x64.o"   # Transport PICO
            make object
            mergelib "lib/LibWinHttp/..."
            export
            link "transport_module"
        ...                              # task_module, obfuscation_module
        dfr "resolve" "ror13"            # résout tous les symboles DFR
        export

Core PIC (main.c)
  │
  ├── resolve()              Pont DFR → recherche de hachage libtcg
  ├── AllocateAndLoadModule() PicoLoad de chaque PICO dans une région RWX partagée
  │
  └── appelle go() du module entry avec des pointeurs vers tous les autres modules
        │
        ├── Module Entry (entry.c)
        │     MvState, checkin, transact (format filaire RC4), boucle de tâches
        │
        ├── Module Transport (transport.c)
        │     POST HTTP/HTTPS via LibWinHttp
        │
        ├── Module Tâches (tasks.c)
        │     Dispatch des commandes : whoami (0x30), sleep (0x20), exit (0x10)
        │
        └── Module Obfuscation (obfuscation.c)
              Sleep Ekko — chaîne ROP sur file de temporisation qui chiffre la mémoire
              du module avec RC4 (SystemFunction033) pendant le sommeil, déchiffre au réveil

┌─────────────────────────────┐
│ Région RWX partagée         │  VirtualAlloc(PAGE_EXECUTE_READWRITE)
│  ├── Code Entry             │  PicoLoad → code ici
│  ├── Code Transport         │
│  ├── Code Tâches            │
│  └── Code Obfuscation       │
├─────────────────────────────┤
│ Données Entry (RW)          │  PicoLoad → données ici (allocation séparée)
│ Données Transport (RW)      │
│ Données Tâches (RW)         │
│ Données Obfuscation (RW)    │
├─────────────────────────────┤
│ Core PIC (libéré après boot)│  Shellcode d'origine, libéré par le module entry
└─────────────────────────────┘

Envoi :    [36B agent_id][RC4(payload)][16B clé (uniquement au premier checkin)]
Réception : [36B agent_id][RC4(réponse)]

src_beacon/Source/
├── main.c           Core PIC — résolveur DFR, chargement de modules, amorçage
├── entry.c          Entry PICO — état de l'agent, checkin, boucle de tâches, transact
├── transport.c      Transport PICO — POST HTTP via LibWinHttp
├── tasks.c          Task PICO — dispatch whoami/sleep/exit
├── obfuscation.c    Obfuscation PICO — sleep Ekko (ROP sur file de temporisation + RC4)
├── crypto.c         Chiffrement de flux RC4 (fusionné dans le PICO entry)
├── packer.c         Packer binaire BE / parser LE (fusionné dans le PICO entry)
└── includes/
    ├── config.h     Définitions de compilation (UUID, sleep, hôte/port/uri/ssl de callback)
    ├── crypto.h     API RC4
    ├── packer.h     API PackBuf / Parser
    ├── tcg.h        libtcg de Crystal Palace (PicoLoad, findModuleByHash, etc.)
    └── HTTP.h       API LibWinHttp

./setup.sh --ax ../AdaptixC2