🛡️ BitLock Framework: Écosystème de Cryptovirologie et C2 (PoC)

Ce dépôt contient une Preuve de Concept (PoC) complète conçue pour l'étude des architectures de menaces modernes. Le projet simule un environnement d'attaque fileless (sans fichier) avec une infrastructure de commande et de contrôle (C2) protégée par cryptographie à courbe elliptique et des protocoles d'effacement sécurisé.

🔬 Analyse du Cycle de Vie de l'Attaque

Le système fonctionne via une exécution coordonnée de trois modules principaux, conçus pour contourner les défenses traditionnelles et garantir la persistance des clés sur le serveur.

1. Infiltration Volatile (load.py)

L'attaque commence avec un Stager de Stage 0. Sa fonction principale est l'évasion d'EDR (Endpoint Detection and Response) :

• Handshake Éphémère: Génère une clé AES-256 unique en RAM et la transmet au port 5001.
• Chiffrement de Charge Utile: Le serveur chiffre le ransomware en temps réel avant l'envoi, frustrant l'inspection des paquets par signatures statiques.
• Exécution In-Memory: Le payload est déchiffré et compilé en bytecode directement dans la mémoire volatile.
• Anti-Forense: Implémente un secure_wipe pour détruire la clé et le code source en texte clair avant d'invoquer exec().

2. Établissement de Canal C2 (BitLockC2Server.py)

Le serveur fonctionne comme un coffre-fort blindé pour la gestion des actifs cryptographiques :

• Durcissement du Coffre: La base de données de clés utilise le chiffrement AES-256-GCM avec dérivation PBKDF2 (480 000 itérations).
• Sécurité Physique: La commande --del active un algorithme de déchiquetage de données (data shredding) qui écrase les fichiers avec des déchets aléatoires et utilise os.fsync() pour garantir le vidage du tampon matériel.

3. Moteur de Chiffrement de la Cible (BitLock-client.py)

Le module injecté exécute le chiffrement des fichiers selon des normes militaires :

• Handshake Hybride: Implémente ECDHE (Courbe P-384) pour obtenir Perfect Forward Secrecy (PFS). Possède un repli automatique vers RSA-4096 si les bibliothèques de courbes elliptiques ne sont pas présentes.
• Chiffrement Authentifié: Utilise AES-GCM pour garantir que les fichiers ne puissent pas être altérés ni récupérés sans la signature d'intégrité originale.
• Évitement Intelligent: Ignore les répertoires système critiques (Windows, /bin/, /etc/) pour éviter l'effondrement du système d'exploitation et assurer la visibilité du rapport de résultats.

📊 Diagramme de Flux (Pipeline de Données)

graph TD
    A[Cliente: Ejecuta load.py] -->|1. Envía Clave Efímera| B(Servidor C2: Puerto 5001)
    B -->|2. Envía Payload Cifrado| A
    A -->|3. Descifra y Ejecuta en RAM| C[BitLock-Payload]
    C -->|4. Intercambio ECDHE| D(Servidor C2: Puerto 5000)
    D -->|5. Almacena Llave en Bóveda| E[(DB Cifrada PBKDF2)]
    C -->|6. Cifrado AES-GCM| F[Archivos .locked]
    C -->|7. Auto-destrucción| G[Proceso Finalizado]

⚙️ Spécifications Techniques de Sécurité

⚠️ Avertissement de Responsabilité (Ethical Hacking)

Ce projet est strictement destiné à des fins éducatives et de recherche.

1. L'utilisation de cet outil sur des systèmes sans autorisation préalable est illégale et constitue un délit informatique.
2. L'auteur n'assume aucune responsabilité pour les dommages causés à l'infrastructure de l'utilisateur ou de tiers.
3. Si l'utilisateur bloque son propre système en raison d'une erreur de configuration, il assume l'entière responsabilité technique et financière de la récupération de ses données.

Développé pour la recherche en sécurité offensive et la défense d'infrastructures critiques.