kamalx06/tornadorevc2Framework modulaire de post-exploitation gérant les sessions reverse-shell via TCP/TLS/mTLS avec des plugins pour l'énumération, l'exécution en mémoire, le pivotement SOCKS5 et la persistance.
Un framework de post-exploitation léger et modulaire pour la recherche en sécurité autorisée, les opérations red-team et les tests d'intrusion. TornadoRevC2 gère des sessions de reverse shell et de bind shell interactives sur des hôtes Linux et Windows via une console opérateur unifiée, à travers TCP en clair, TLS avec authentification serveur, et TLS mutuellement authentifié. La gestion des sessions est étendue par une architecture de plugins multiplateforme pour l'énumération d'hôtes, la connaissance situationnelle et les tâches opérationnelles.
Important : TornadoRevC2 exécute deux modèles de session complémentaires dans le même processus. Le shell handler privilégie des sessions interactives fiables, des flux de travail opérateur structurés et l'exécution de plugins à la demande. Le sous-système beacon ajoute un agent compilé à tirage (pull-based) pour les engagements de longue durée qui nécessitent planification, auto-destruction et résilience réseau plutôt qu'un socket actif. Les deux partagent la console opérateur, le matériel TLS et l'infrastructure de journalisation ; ni l'un ni l'autre ne requiert l'autre. Voir Sous-système Beacon.
Utilisez ce logiciel uniquement sur des systèmes que vous possédez ou sur des systèmes pour lesquels vous disposez d'une autorisation écrite explicite. Vous êtes seul responsable du respect des lois applicables et des politiques organisationnelles. Les auteurs et contributeurs déclinent toute responsabilité en cas de mauvaise utilisation, perte de données ou conséquences juridiques découlant de l'utilisation de ce projet.
Démo rapide : gestion de session, exécution de plugins, pivot SOCKS5.
TornadoRevC2 est un framework de post-exploitation modulaire qui prend en charge deux modèles de session dans un seul processus, partageant une console opérateur et un ensemble de composants d'infrastructure (matériel de certificat TLS, profils malléables, journalisation de session) :
Sessions shell interactives — reverse shells (la cible se connecte au
handler via TCP en clair, TLS avec authentification serveur, ou TLS mutuel avec
vérification du certificat client) et bind shells (le handler se connecte
à la cible, via TCP en clair ou TLS). Chacune peut être déplacée à l'exécution
vers un transport secondaire HTTPS (HTTP/2 ou HTTP/1.1 sur TLS) ou un
named pipe SMB hébergé sur la cible, et rétablie avec
backtoshell. Tous les flux produisent des objets de session identiques et passent
par le même pipeline de sonde, de plugins, de transfert et de reporting.
Sessions beacon compilées — un agent Go cross-compilé depuis la machine de l'opérateur, sans configuration à l'exécution sur disque. L'agent se signale selon un planning, récupère les tâches en file d'attente, les exécute via des handlers natifs in-process ou un shell, puis retourne en sommeil. Les tâches et les résultats sont signés ECDSA de bout en bout, le transport est HTTPS avec mTLS optionnel, et chaque propriété comportementale est intégrée au moment de la compilation.
Le framework fournit une console opérateur unifiée pour la gestion
de session, la reconnaissance d'hôte, le transfert de fichiers par blocs, l'exécution
de payloads en mémoire, le pivot SOCKS5, la post-exploitation pilotée par plugins,
le reporting structuré, et une commande update intégrée pour les mises à jour
automatiques basées sur Git et les redémarrages transparents du handler. Des capacités telles que
l'énumération de pare-feu, la collecte de métadonnées de stockage d'identifiants, la cartographie
réseau, le profilage de navigateur, l'analyse des relations d'approbation de domaine Windows, et
d'autres fonctionnalités de post-exploitation sont implémentées sous forme de 65
plugins indépendants et modulaires. Le plugin make_token établit de nouvelles
sessions C2 via des protocoles distants (SSH, WinRM, SMB, WMI, MSSQL, DCOM,
et MySQL/MariaDB) depuis le côté opérateur ; upgrade_mtls migre une
session active vers l'écouteur mutual-TLS en poussant le bundle de certificats
client du handler vers la cible.
Plateformes cibles prises en charge : Linux et Windows (principales), avec compatibilité pour les environnements Unix génériques et BSD lorsque applicable.
