Nimbo-C2

• Nimbo-C2
• À propos
• Fonctionnalités
• Installation
  • Méthode simple
  • Méthode plus simple
• Utilisation
• Limitations, avertissements, notes
• Contribution

À propos

Nimbo-C2 est un autre framework C2 (simple et léger).

L'agent Nimbo-C2 prend en charge Windows et Linux x64. Il est écrit en Nim, avec une certaine utilisation de .NET sur Windows (en chargeant dynamiquement le CLR dans le processus). Nim est puissant, mais interagir avec Windows est beaucoup plus simple et robuste avec Powershell, d'où cette combinaison. L'agent Linux est plus mince et ne supporte que des commandes de base, y compris le chargement ELF via la technique memfd.

Tous les composants serveur sont écrits en Python :

• Écouteur HTTP qui gère les agents.
• Builder qui génère les payloads des agents.
• Nimbo-C2 est le composant C2 interactif qui les dirige tous !

Mon travail n'aurait pas été possible sans les excellents travaux antérieurs d'autres personnes, listés dans les crédits.

Fonctionnalités

• Construire des payloads EXE, DLL, ELF.
• Configuration et chaînes de l'implant chiffrées avec NimProtect.
• Packaging des payloads avec UPX et obfuscation des noms de sections PE (UPX0, UPX1) pour rendre la détection et le dépacking plus difficiles.
• Communication HTTP chiffrée (AES en mode CBC, clé codée en dur dans l'agent et configurable via config.jsonc).
• Auto-complétion dans la console C2 pour une interaction pratique.
• Commandes de fichiers et de registre.
• Exécution de commandes Powershell en mémoire.
• Commandes de téléchargement et d'envoi de fichiers.
• Commandes de découverte intégrées.
• Capture d'écran, vol de presse-papiers, enregistrement audio et keylogger.
• Correction d'ETW et AMSI via des appels système indirects.
• Extraction de hachages LSASS et SAM.
• Injection de shellcode via des appels système indirects.
• Exécution d'assemblies .NET en ligne.
• Capacités de persistance.
• Méthodes de contournement de l'UAC.
• Impersonation de jeton et getsystem.
• Définition du processus de l'implant comme critique (écran bleu à la terminaison).
• (Linux) Chargement ELF via memfd en 2 modes.
• Et plus encore !

Installation

Avertissement : Nimbo-C2 est conçu pour être exécuté uniquement dans le conteneur Docker fourni

Méthode simple

Notez que cette installation peut causer des problèmes ou des incompatibilités à l'avenir car l'image Docker n'impose pas actuellement de versions de langages et de bibliothèques, envisagez donc de passer à la méthode suivante.

1. Clonez le dépôt et cd dedans

git clone https://github.com/itaymigdal/Nimbo-C2
cd Nimbo-C2

2. Construisez l'image Docker

docker build -t nimbo-dependencies .

3. Revenez dans les fichiers sources et exécutez l'image Docker en mode interactif, exposez le port 80 et montez le répertoire Nimbo-C2 dans le conteneur (afin de pouvoir accéder facilement à tous les fichiers du projet, modifier config.jsonc, télécharger et envoyer des fichiers depuis les agents, etc.). Pour Linux, remplacez ${pwd} par $(pwd).

cd Nimbo-C2
docker run -it --rm -p 80:80 -v ${pwd}:/Nimbo-C2 -w /Nimbo-C2 nimbo-dependencies

Méthode plus simple

Ici, nous utilisons l'image Docker déjà construite, testée et stockée - recommandé.

git clone https://github.com/itaymigdal/Nimbo-C2
cd Nimbo-C2/Nimbo-C2
docker run -it --rm -p 80:80 -v ${pwd}:/Nimbo-C2 -w /Nimbo-C2 itaymigdal/nimbo-dependencies

Pour Linux, remplacez ${pwd} par $(pwd).

Utilisation

D'abord, modifiez config.jsonc selon vos besoins.

Ensuite, exécutez avec : python3 Nimbo-C2.py

Utilisez la commande help pour chaque écran, et la complétion par tabulation.

Limitations, avertissements, notes

• Même si la communication HTTP est chiffrée, l'en-tête 'user-agent' est en texte clair et transporte l'identifiant réel de l'agent, ce qui peut être signalé comme suspect par certains produits.
• Entourez les chemins ou arguments avec des espaces par des guillemets doubles.
• CLR fonctionne avec le jeton d'accès principal, donc impersonate/getsys n'affectent pas iex/assembly.
• Les commandes audio, lsass (sauf la méthode Evil Lsass Twin) sauvegardent temporairement des artefacts sur le disque avant de les exfiltrer et de les supprimer.
• Si vous tunnelisez le serveur Nimbo (par exemple en l'exposant via Pinggy), utilisez TCP, pas HTTP.

Contribution

Ce logiciel peut être bogué ou instable dans certains cas d'utilisation car il n'est pas entièrement et constamment testé. N'hésitez pas à ouvrir des issues, des PR, et à me contacter pour toute raison à (Gmail | Linkedin)