RedditC2
Abuser de l'API Reddit pour héberger le trafic C2, car la plupart des membres de l'équipe bleue utilisent Reddit, cela pourrait être un excellent moyen de rendre le trafic légitime.
🚫 [Avertissement] : L'utilisation de ce projet est réservée à des fins éducatives/de test. L'utiliser sur des machines non autorisées est strictement interdit. Si quelqu'un est trouvé en train de l'utiliser à des fins illégales/malveillantes, l'auteur du dépôt ne sera pas tenu responsable.
Prérequis
Installer la bibliothèque PRAW dans python3 :
pip3 install praw
Démarrage rapide
Consultez le guide de démarrage rapide pour commencer tout de suite !
Démo
https://user-images.githubusercontent.com/37262788/206015879-589614d5-1a7a-4c21-a342-75bdfc677a61.mp4
Flux de travail
Serveur d'équipe
- Allez sur le post Reddit spécifique et postez un nouveau commentaire avec la commande ("in: <commande chiffrée>")
- Lisez les nouveaux commentaires contenant le mot "out:"
- Si aucun commentaire de ce type n'est trouvé, revenez à l'étape 2
- Analysez le commentaire, déchiffrez-le et lisez sa sortie
- Modifiez le commentaire existant pour y mettre "executed", afin d'éviter de le réexécuter
Client
- Allez sur le post Reddit spécifique et lisez le dernier commentaire qui contient "in:"
- Si aucun nouveau commentaire n'est détecté, revenez à l'étape 1
- Extrayez la commande du commentaire, déchiffrez-la et exécutez-la localement
- Chiffrez la sortie de la commande et répondez-la au commentaire correspondant ("out:" <sortie chiffrée>)
Ci-dessous une démonstration du trafic C2 chiffré en XOR à des fins de compréhension :
Résultats de scan
Comme il s'agit d'un implant C2 personnalisé, il n'est détecté par aucun antivirus car le comportement est totalement légitime.
À FAIRE
Crédits
Remerciements particuliers à @T4TCH3R pour avoir travaillé avec moi et contribué à ce projet.
kleiton0x00/redditc2
