Lockjaw - Framework C2 Windows avancé (v0.2.15)

Lockjaw est un framework de commande et contrôle (C2) avancé et modulaire, conçu pour les engagements red team, les simulations adverses et les opérations furtives. Il utilise une architecture moderne à langages séparés : un Teamserver Rust à haute concurrence couplé à un implant Zig évasif et sans dépendances, ainsi qu'à des stagers en code position-independent (PIC) en assembleur pur.

CECI EST UN LOGICIEL ALPHA Utilisez-le à vos propres risques. Toutes les fonctionnalités n'ont pas été testées, le code n'a pas été audité. Il y a des bugs et certaines commandes peuvent ne pas fonctionner.

Les éléments suivants ont été testés :

• Communications entre le Teamserver et le client
• Implant EXE
• Commandes de l'agent pour la reconnaissance
• Injection de processus

Le support des BOF n'a pas été testé.

---

Aperçu de l'architecture

                      +------------------------------------+
                      |       Operator CLI (Python)        |
                      |   Async TUI / Prompt-Toolkit       |
                      +-----------------+------------------+
                                        | HTTPS / REST API (Port 50051)
                                        v
                      +------------------------------------+
                      |       Lockjaw Teamserver           |
                      |          (Rust / Tokio)            |
                      |  - SQLite Storage (SQLx)           |
                      |  - Dynamic Zig Cross-Compiler      |
                      |  - Multi-Transport Listener Manager|
                      +--------+------------------+--------+
                               |                  |
                    HTTPS / HTTP                  DNS (UDP 53)
                    (WinHTTP)                     (Hickory DNS / Base32)
                               |                  |
                               v                  v
                      +------------------------------------+
                      |       Lockjaw Implant (Zig)        |
                      |  - Indirect Syscalls (Halo's Gate) |
                      |  - Reflective & PoolParty Injection|
                      |  - In-Memory BOF Execution Engine  |
                      |  - Ghost AMSI Bypass (HWBP + VEH)  |
                      |  - IAT-Clean Dynamic API Resolv.   |
                      |  - RC4-Encrypted Communications    |
                      +------------------------------------+

• Teamserver (Rust) : Construit sur Tokio et Axum avec Rustls. Gère les checkins des agents, la distribution des tâches, les cycles de vie des listeners et la persistance SQLite. Intègre un pipeline de cross-compilation de payloads à la demande exploitant Zig et GNU objcopy.
• Implant (Zig & Assembleur) : Cross-compilé nativement pour cibler x86_64-windows. Autonome, sans dépendances externes au runtime C, fonctionnant dans le sous-système .Windows (headless, sans fenêtre de console).
• Stagers (Assembleur PIC & PowerShell) : Stager en assembleur position-independent x64 durci (pic_stager.s) avec architecture safe-stack, préservation du shadow space et parcours dynamique du PEB, accompagné de cradles de téléchargement PowerShell légers.
• Operator CLI (Python 3) : TUI asynchrone construite sur prompt_toolkit offrant des alertes de checkin en temps réel, l'indexation numérique, la correspondance par préfixe, la gestion de contexte et la synchronisation automatique d'upload/download de fichiers.

---

Capacités et fonctionnalités principales

1. Évasion et anti-analyse

• Appels système indirects (Hell's Gate + Halo's Gate) :
  • Extrait dynamiquement les System Service Numbers (SSN) directement depuis ntdll.dll en mémoire à l'aide du hachage DJB2.
  • Récupère les appels système hookés via le scan des voisins de Halo's Gate (jusqu'à 32 slots au-dessus et en dessous).
  • Saute directement vers des gadgets légitimes syscall; ret résidant dans la section .text de ntdll.dll, contournant les hooks d'API en mode utilisateur, l'inspection de la pile d'appels et les vérifications d'origine d'adresse de retour.
• Bypass AMSI "Ghost" (HWBP + VEH) :
  • Neutraliseur AMSI en mémoire utilisant des Hardware Breakpoints (DR0/DR7) et la gestion d'exceptions vectorisées (AddVectoredExceptionHandler).
  • Déclenche une exception interne (0xDEADBEEF) pour configurer les registres de débogage sur AmsiScanBuffer.
  • Capture EXCEPTION_SINGLE_STEP, met RAX à zéro (AMSI_RESULT_CLEAN = 0) et retourne proprement l'exécution à l'appelant.
  • Ne modifie aucun octet de la mémoire .text et évite les vecteurs de détection de SetThreadContext.
• 100% IAT-Clean et résolution dynamique des API :
  • Zéro import statique pour les API Win32/NT sensibles.
  • Résout les modules en parcourant le PEB (InLoadOrderModuleList) et résout les adresses de fonctions dynamiquement via un hachage sensible à la casse (djb2) et insensible à la casse (djb2_i) à la compilation.
• Communications chiffrées :
  • Chiffrement symétrique de flux RC4 sur toutes les communications agent-teamserver (checkins, tasking, résultats).
  • Identification unique de l'agent dérivée du PID, du TID et du nom de machine via un générateur congruentiel linéaire (LCG).
• Empreinte furtive :
  • Fonctionne comme une application GUI du sous-système .Windows.
  • Supprime les fenêtres de console via ShowWindow(hWnd, SW_HIDE).
  • Sleep de beacon configurable avec algorithmes de jitter aléatoire.
  • Contournement automatique des erreurs de certificat SSL (SECURITY_IGNORE_ALL_CERT_ERRORS) permettant l'utilisation opérationnelle avec des certificats TLS auto-signés et du domain fronting.
• Auto-destruction :
  • Arrête le processus de l'agent et lance une commande de nettoyage asynchrone détachée (ping 127.0.0.1 -n 3 > nul & del /f /q ...) pour effacer de manière sécurisée le binaire du disque.

2. Migration et injection de processus

• Direct Reflective Manual Mapping (migrate <pid> reflective) :
  • Mappe manuellement l'image exécutable de l'agent dans un processus cible distant à l'aide de sections de mémoire partagée à double mappage (NtCreateSection + NtMapViewOfSection mappées RW localement et RWX à distance).
  • Évite les allocations de mémoire virtuelle distante suspectes (NtAllocateVirtualMemory / NtWriteVirtualMemory).
  • Effectue la copie locale des en-têtes PE, le mappage des sections, les corrections de delta de relocalisation de base et la résolution de la table d'imports directement dans la mémoire partagée avant de lancer l'exécution du thread distant via les appels système indirects NtCreateThreadEx.
  • Validation d'architecture intégrée pour se protéger contre les incompatibilités d'injection 32 bits (WOW64).
• Injection Reflective PoolParty (migrate <pid> reflective_poolstomp) :
  • Combine le mappage de section reflective avec l'injection de processus avancée PoolParty.
  • Énumère les handles de processus distants via NtQuerySystemInformation pour découvrir les factories de workers de thread pool existantes (TpWorkerFactory).
  • Interroge WorkerFactoryBasicInformation, écrase le StartRoutine de la factory avec un trampoline d'exécution, et déclenche l'exécution de l'agent en incrémentant WorkerFactoryThreadMinimum via NtSetInformationWorkerFactory.
  • Zéro création de nouveau thread : Contourne complètement la télémétrie et les alertes ancrées sur CreateRemoteThread / NtCreateThreadEx (par exemple, Sysmon Event ID 8, fournisseurs ETW de threat intelligence).