SHAD0W

SHAD0W एक मॉड्यूलर C2 फ्रेमवर्क है जिसे परिपक्व वातावरण में सफलतापूर्वक संचालित करने के लिए डिज़ाइन किया गया है।

यह EDR और AV से बचने के लिए कई तरीकों का उपयोग करता है, साथ ही ऑपरेटर को उन टूलिंग और ट्रेडक्राफ्ट का उपयोग जारी रखने की अनुमति देता है जिनसे वे परिचित हैं। यह Python 3.8 और C द्वारा संचालित है, और पेलोड जनरेशन के लिए Donut का उपयोग करता है। Donut का उपयोग SHAD0W की प्रक्रिया इंजेक्शन क्षमताओं के साथ करके, यह ऑपरेटर को .NET असेंबली, DLL, EXE, JS, VBS या XSLs को पूरी तरह से मेमोरी में निष्पादित करने की क्षमता प्रदान करता है। उपयोगकर्ता-स्तरीय API हुकिंग से बचने के लिए डायनामिक रूप से हल किए गए syscalls का भारी उपयोग किया जाता है, EDR को बीकन में कोड लोड करने से रोकने के लिए एंटी DLL इंजेक्शन, और स्पॉन प्रक्रियाओं की सुरक्षा के लिए आधिकारिक Microsoft शमन विधियाँ।

स्थापना और उपयोग निर्देशों के लिए विकी देखें।

SHAD0W C2 की मुख्य विशेषताएं:

• Docker के लिए निर्मित - पूरी तरह से Docker के अंदर चलता है, क्रॉस-प्लेटफ़ॉर्म उपयोग की अनुमति देता है
• अत्यधिक मॉड्यूलर - बीकन के साथ बातचीत और कार्य करने के लिए नए मॉड्यूल बनाना आसान
• HTTPS C2 संचार - बीकन और C2 के बीच सारा ट्रैफ़िक एन्क्रिप्ट किया जाता है और HTTPS पर प्रेषित होता है
• JSON-आधारित प्रोटोकॉल - कस्टम बीकन बनाए और उपयोग किए जा सकते हैं, जिसमें लागू करने में आसान प्रोटोकॉल है
• लाइव प्रॉक्सी और मिरर - C2 सर्वर किसी भी वेबसाइट को रीयल टाइम में मिरर करने में सक्षम है, सभी गैर-C2 ट्रैफ़िक को उस साइट पर रिले करता है, जिससे वेब ब्राउज़र में देखने पर यह कम संदिग्ध दिखता है
• आधुनिक CLI - CLI prompt-toolkit पर बनाया गया है

SHAD0W बीकन की मुख्य विशेषताएं:

• EXE, PowerShell, shellcode और अधिक - बीकन कई अलग-अलग प्रारूपों में उत्पन्न और उपयोग किए जा सकते हैं
• प्रक्रिया इंजेक्शन - ऑपरेटर को dllinject, migrate, shinject और अधिक की अनुमति देता है
• AV को बायपास करें - सामान्य एंटी-वायरस उत्पादों से बचने के लिए पेलोड को बार-बार अपडेट किया जाता है
• अत्यधिक कॉन्फ़िगरेबल - कस्टम जिटर, यूज़र एजेंट और अधिक
• HTTPS C2 संचार - C2 से और C2 तक ट्रैफ़िक HTTPS के माध्यम से एन्क्रिप्ट किया जाता है
• प्रॉक्सी अवेयर - सभी कॉलबैक वर्तमान सिस्टम प्रॉक्सी का उपयोग कर सकते हैं

वर्तमान मॉड्यूल:

• Elevate - अंतर्निहित PrivEsc शोषण
• Ghost in the Logs - ETW और Sysmon अक्षम करें, अधिक जानकारी यहाँ मिल सकती है
• GhostPack - बाइनरीज़ Azure पाइपलाइन के माध्यम से रात्रिकालीन रूप से संकलित होती हैं। धन्यवाद @Flangvik को
• Mimikatz - आपकी सभी क्रेडेंशियल चोरी की जरूरतों के लिए
• SharpCollection - ढेर सारे .NET आक्रामक उपकरण, अधिक जानकारी यहाँ मिल सकती है
• SharpSocks - HTTPS पर रिवर्स SOCKS प्रॉक्सी
• StdAPI - फ़ाइल सिस्टम के साथ बातचीत करने के लिए सामान्य कमांड
• Unmanaged PowerShell - इसमें अंतर्निहित AMSI बाईपास शामिल है
• अपलोड और डाउनलोड - आसान डेटा एक्सफ़िलट्रेशन

आधिकारिक Discord

Porchetta Industries