🧙‍♂️ लोकी कमांड एंड कंट्रोल

Loki एक stage-1 कमांड एंड कंट्रोल (C2) फ्रेमवर्क है जो Node.js में लिखा गया है, जिसे कमजोर Electron ऐप्स को स्क्रिप्ट-जैक करने के लिए बनाया गया है MITRE ATT&CK T1218.015. रेड टीम ऑपरेशनों के लिए विकसित, Loki विश्वसनीय, हस्ताक्षरित Electron ऐप्स का शोषण करके सुरक्षा सॉफ़्टवेयर को बायपास करने और एप्लिकेशन नियंत्रणों से बचने में सक्षम बनाता है।

स्क्रिप्ट-जैकिंग runtime पर लोड की गई JavaScript फ़ाइलों को मनमाने Node.js कोड से संशोधित करके किसी Electron ऐप के निष्पादन प्रवाह को हाईजैक करती है। इस तकनीक का उपयोग इनके लिए किया जा सकता है:

• Electron ऐप में बैकडोर डालना
• Electron ऐप को होलो (खोखला) करना
• किसी अन्य प्रक्रिया में निष्पादन श्रृंखला (chain) बनाना

जबकि कई उपकरण पहले से ही किसी अन्य प्रक्रिया में निष्पादन को चेन करने के लिए स्क्रिप्ट-जैकिंग का लाभ उठाते हैं, Loki पहला उपकरण है जो हस्ताक्षरित Electron ऐप्स में बैकडोरिंग और होलोइंग को उनके कोड-साइनिंग हस्ताक्षर को अमान्य किए बिना सक्षम बनाता है।

Loki कैसे काम करता है, इसकी अधिक जानकारी के लिए यह ब्लॉग पोस्ट देखें:

• Loki C2 के साथ Windows Defender Application Control को बायपास करना

🚀 योगदानकर्ता

वीडियो

John Hammond द्वारा Loki C2 से Cursor AI में बैकडोर डालने का यह वीडियो देखें! 🎩

• वीडियो में वह एक नई कमजोर Electron एप्लिकेशन खोजने, उसे Loki C2 से बैकडोर करने, क्लाइंट GUI के साथ सेटअप करने की प्रक्रिया दिखाते हैं, और हमने ऐप को पृष्ठभूमि में लगातार चलाने के दो तरीके भी निकाले हैं 🪄 -- अंतिम उपयोगकर्ता के दृष्टिकोण से Cursor सामान्य रूप से चलता है! 🥷

Simon Exley & Clinton Elves द्वारा Loki C2 के साथ शुरुआत करने का यह वीडियो देखें! 🧙‍♂️

विशेषताएँ और विवरण

• Azure Storage Blob C2 चैनल
  • C2 स्टोरेज अकाउंट की सुरक्षा के लिए SAS टोकन
• AES एन्क्रिप्टेड C2 संदेश
• प्रॉक्सी-जागरूक एजेंट
  • एजेंट, शेलकोड निष्पादन और असेम्बली फोर्क-एन-रन शैली निष्पादन के लिए Chromium रेंडरर चाइल्ड प्रोसेस का उपयोग करता है -- Chromium की प्रॉक्सी-जागरूक क्षमताओं को विरासत में लेता है।
• टीमसर्वर-रहित
  • पारंपरिक C2 के विपरीत जहाँ एजेंट Teamserver को संदेश भेजते हैं, यहाँ कोई Teamserver नहीं है
  • GUI क्लाइंट और एजेंट दोनों एक ही डेटा-स्टोर में चेक-इन करते हैं
• छिपा हुआ निष्पादन -- पृष्ठभूमि में चलता है

कमांड्स

सभी एजेंट कमांड नेटिव Node.JS में लिखे गए हैं और इन्हें अतिरिक्त निर्भरताओं या लाइब्रेरी लोड इवेंट्स की आवश्यकता नहीं होती। scexec और assembly कमांड को छोड़कर, जो keytar.node और assembly.node पर लाइब्रेरी लोड करते हैं

• सभी कमांड / का उपयोग करने वाले पथ स्वीकार करते हैं, पथ में \ काम नहीं करेगा।

Set - एप्लिकेशन नियंत्रण बहिष्करण पथों से नोड्स लोड करना

• यदि नोड फ़ाइलों के लिए लाइब्रेरी लोड को रोकने वाले एप्लिकेशन नियंत्रण नियम हैं, तो आप assembly.node और scexec.node के लिए लोड पथ बदलने हेतु set कमांड का उपयोग कर सकते हैं।
• ls, cat, cp और mv का उपयोग करके आप एप्लिकेशन नियंत्रण नियमों की गणना कर सकते हैं और एक लिखने योग्य बहिष्करण निर्देशिका खोज सकते हैं।
• इससे आप नोड फ़ाइलों को बहिष्करण निर्देशिका में रख सकते हैं और एप्लिकेशन नियंत्रण को बायपास करने के लिए set कमांड से उनके लोड पथ को बहिष्करण निर्देशिका में बदल सकते हैं।
• इस हमले वेक्टर के अधिक विवरण के लिए Daniel Duggan (@_RastaMouse) द्वारा CRTO2 पाठ्यक्रम देखें।

[04-04-2025 8:50AM MST] advsim$ help set
Set the Node load paths for assembly node and scexec nodes
	set scexec_path C:/Users/user/AppData/ExcludedApp/scexec.node
	set assembly_path C:/Users/user/AppData/ExcludedApp/assembly.node
[04-04-2025 8:51AM MST] advsim$ set scexec_path C:/Users/user/AppData/ExcludedApp/scexec.node
SCEXEC Node Load Path Set to : C:/Users/user/AppData/ExcludedApp/scexec.node

एजेंट विशेषताएँ

एजेंट की विशेषताओं की अधिक जानकारी के लिए यहाँ क्लिक करें

क्लाइंट विशेषताएँ

क्लाइंट की विशेषताओं की अधिक जानकारी के लिए यहाँ क्लिक करें

🧙‍♂️ भ्रम तैनात करें

सबसे पहले आपको एक कमजोर Electron एप्लिकेशन की पहचान करनी होगी जो ASAR सुरक्षा अखंडता जाँच नहीं करता, जैसे Microsoft Teams। नए एप्लिकेशन में बैकडोरिंग को रोकने वाली अखंडता जाँच हो सकती हैं। लक्षित ऐप के पुराने संस्करणों के कमजोर होने की अधिक संभावना होती है।

• कमजोर Electron ऐप्स खोजने की मार्गदर्शिका

सरल निर्देश

Electron ऐप्स में बैकडोर डालते समय आपको एजेंट को कंपाइल करने की आवश्यकता नहीं है। बस {ELECTRONAPP}/resources/app/ की सामग्री को Loki एजेंट फ़ाइलों से बदल दें।

विस्तृत निर्देश

चरण 1 : Azure Storage Blob खाता बनाएं और SAS टोकन प्राप्त करें

• Azure पोर्टल के माध्यम से Azure Storage खाता बनाएं
• Azure CLI के माध्यम से Azure Storage खाता बनाएं

चरण 2 : Obfuscated Loki पेलोड बनाएं

• इस रिपो को क्लोन करें और उसमें cd करें
• Node.JS इंस्टॉल करें
• javascript-obfuscator मॉड्यूल इंस्टॉल करें

npm install --save-dev javascript-obfuscator

• अपने Storage Account जानकारी के साथ Loki पेलोड बनाने के लिए create_agent_payload.js स्क्रिप्ट चलाएँ

bobby$ node create_agent_payload.js 
[+] Provide Azure storage account information:
        - Enter Storage Account  : 7f7584ty218ba5dba778.blob.core.windows.net
        - Enter SAS Token        : se=2025-05-28T23%3A14%3A48Z&sp=rwdlac&spr=https&sv=2022-11-02&ss=b&srt=sco&sig=5MXQzJ6FDZK8yYiBSgJ6FDZKgQzJMXBSgg6qE4ydrJ6FDZKSgg%3D

[+] Configuration:
        - Storage Account : 7f7584ty218ba5dba778.blob.core.windows.net
        - SAS Token       : se=2025-05-28T23%3A14%3A48Z&sp=rwdlac&spr=https&sv=2022-11-02&ss=b&srt=sco&sig=5MXQzJ6FDZK8yYiBSgJ6FDZKgQzJMXBSgg6qE4ydrJ6FDZKSgg%3D
        - Meta Container  : mllyi2zjmafjm

[+] Updated /Users/bobby/apr2/LokiC2/config.js with storage configuration. 
 - Enter into the Loki Client UI
        Loki Client > Configuration

[+] Modifying PE binaries to have new hashes...
        - Payload assembly.node hash : e9d126407264821d3c2d324da0e2d1bc13cbc53e7c56340fe12b07f69b707f02
        - Payload keytar.node   hash : 292c14ffebd6cae3df99d9fbee525e29a5a704f076b82207eb3e650de45b075d

[+] Payload ready!
         - Obfuscated payload in the ./app directory

चरण 3 : Electron एप्लिकेशन में बैकडोर डालें

• आपका obfuscated Loki पेलोड ./app/ में आउटपुट होता है
• {ELECTRONAPP}/resources/ में निर्देशिका बदलें
• सब कुछ हटा दें
• Loki के ./app/ फ़ोल्डर को {ELECTRONAPP}/resources/app/ में कॉपी करें
• Electron PE फ़ाइल पर क्लिक करें और सुनिश्चित करें कि Loki काम करता है

चरण 4 : Loki क्लाइंट कॉन्फ़िगर करें

• Loki GUI क्लाइंट लॉन्च करें

• मेन्यूबार से Settings विंडो खोलने के लिए Loki Client > Configuration पर क्लिक करें

• अपने Storage Account विवरण दर्ज करें और Save पर क्लिक करें

  

• एजेंट अब डैशबोर्ड में दिखना चाहिए

• एजेंट विंडो खोलने के लिए डैशबोर्ड तालिका से एजेंट पर क्लिक करें

• यह सुनिश्चित करने के लिए परीक्षण करें कि Loki ठीक से काम करता है

Electron ऐप्स में बैकडोर डालना और असली एप्लिकेशन को सामान्य रूप से कार्यशील रखना

Loki का उपयोग करने का सबसे सीधा तरीका {ELECTRONAPP}/resources/app/ में फ़ाइलों को Loki फ़ाइलों से बदलना है। यह ऐप को खोखला कर देता है, जिसका अर्थ है कि ऐप सामान्य रूप से कार्य नहीं करेगा -- Loki ने इसकी कार्यक्षमता को बदल दिया है।

यदि आप वास्तव में Electron एप्लिकेशन को चालू रखना चाहते हैं और साथ ही पृष्ठभूमि में Loki तैनात करना चाहते हैं, तो सारी उम्मीद खत्म नहीं हुई है! John Hammond और मैंने असली Electron एप्लिकेशन को चालू रखने का एक तरीका निकाला है। हमने आपकी आवश्यकता वाली फ़ाइल इस रिपो में /loki/backdoor/init.js पर जोड़ दी है।

यह वर्तमान में Cursor के लिए काम करने हेतु सेटअप है, जिसे John Hammond द्वारा कमजोर पाया गया।

ऐसा करने के लिए आपको यह करना होगा:

• Cursor ऐप डाउनलोड करें
• cursor/resources/app/ में package.json को छोड़कर सभी Loki फ़ाइलें पेस्ट करें
  • असली package.json को प्रतिस्थापित न करें
• /loki/backdoor/init.js को cursor/resources/app/ में कॉपी करें
• cursor/resources/app/package.json की सामग्री को संशोधित करें:
  • "main":"init.js", सेट करें
  • "type":"module", हटाएँ
  • "private":true, हटाएँ

यह कैसे काम करता है

• इन परिवर्तनों के साथ Cursor.exe क्लिक / निष्पादन पर init.js लोड करेगा
• init.js package.json पढ़ता है
• init.js "main":"init.js", को "main":"main.js", में बदलता है
  • main.js Loki है
• init.js एक नया Cursor.exe स्पॉन करता है और उसे डिसाउन करता है जो Loki की ओर इंगित करता है
• Loki पृष्ठभूमि में स्पॉन किया जाता है
• init.js फिर से package.json पढ़ता है
• init.js "main":"main.js", को में बदलता है

इस तरह ऐप स्थायी रूप से बैकडोर रहता है और सामान्य रूप से कार्य करता है। यदि cursor ऐप बंद किया जाता है, तो loki पृष्ठभूमि में चलता रहेगा।

भविष्य

मैं भविष्य में इसे स्वचालित करने के लिए एक स्क्रिप्ट बनाऊँगा।

Opsec अनुशंसाएँ

• Opsec अनुशंसाएँ

संकलन मार्गदर्शिकाएँ

ये एजेंट और क्लाइंट बनाने के संकलन निर्देश हैं। निर्देश कई प्लेटफार्मों को कवर करते हैं, जिनमें Windows, Linux और macOS शामिल हैं। क्लाइंट को लक्षित प्लेटफ़ॉर्म और आर्किटेक्चर पर संकलित करने की अनुशंसा की जाती है।

क्लाइंट

• Windows
• macOS
• Linux

एजेंट

यदि आप किसी Electron एप्लिकेशन में बैकडोर डाल रहे हैं, तो आपको एजेंट संकलित करने की आवश्यकता नहीं है।

मैं एजेंट को संकलित करके ऑपरेशनों में उपयोग करने की अनुशंसा नहीं करता। एजेंट संकलन निर्देश विकास के लिए हैं।

• Windows
• Linux
• macOS

पहचान मार्गदर्शन

• इस TTP के बारे में अधिक विवरण, उदाहरण और जानकारी के लिए MITRE द्वारा प्रदान की गई जानकारी की समीक्षा करें :
  • MITRE ATT&CK T1218.015: Electron Applications
• किसी असामान्य निर्देशिका जैसे ~/Downloads/Teams/Teams.exe से एक electron ऐप का निष्पादन
• Azure Storage Blob *.blob.core.windows.net पर बीकन करने वाले Electron ऐप्स
• नेटवर्क ट्रैफ़िक में SAS टोकन का उपयोग
• Electron ऐप्स द्वारा netstat.exe या whoami.exe जैसी चाइल्ड प्रोसेस स्पॉन करना
• Loki JavaScript के Electron प्रक्रिया में निष्पादित होने पर ~/AppData/Roaming/{NAME} में Loki package.json में मौजूद नाम वाली एक निर्देशिका बनाई जाएगी।
• यह LOLBAS Teams प्रविष्टि Electron एप्लिकेशन बैकडोरिंग के लिए पहचान को कवर करती है। पहचान की जानकारी नीचे कॉपी की गई है।
• IOC: %LOCALAPPDATA%\Microsoft\Teams\current\app निर्देशिका बनाई गई
• IOC: %LOCALAPPDATA%\Microsoft\Teams\current\app.asar फ़ाइल गैर-Teams इंस्टॉलर/अपडेटर द्वारा बनाई/संशोधित की गई
• इलेक्ट्रॉन ऐप से स्थापित Loki C2 का पता लगाने के लिए SIGMA नियम

संदर्भ || आभार || आक्रामक इलेक्ट्रॉन अनुसंधान

• Dylan Tran (@d_tranman)
  • Loki एजेंट के सह-निर्माता। शेलकोड और असेम्बली निष्पादन के लिए node मॉड्यूल बनाए।
• Valentina Palmiotti (@chompie1337), Ellis Springe (@knavesec), और Ruben Boonen को पर्सिस्टेंस के लिए Electron एप्लिकेशन्स में बैकडोरिंग पर उनके पिछले आंतरिक कार्य के लिए
• Ruben Boonen
  • Wild West Hackin’ Fest talk Statikk Shiv: Leveraging Electron Applications for Post-Exploitation
• Andrew Kisliakov
  • Microsoft Teams और अन्य Electron ऐप्स को LOLbins के रूप में उपयोग करना
• Shawn Jones
  • Loki असेम्बली निष्पादन के लिए Dylan ने Shawn के सार्वजनिक InlineExecute-Assembly कोड को पोर्ट किया
• mr.d0x (@mrd0x) को Teams Electron एप्लिकेशन का उपयोग करके मनमाना Node.JS कोड निष्पादित करने और अपने निष्कर्षों को LOLBAS प्रोजेक्ट में प्रकाशित करने के उनके पूर्व कार्य के लिए।
• Michael Taggart
  • quASAR प्रोजेक्ट, कमांड निष्पादन सक्षम करने के लिए Electron एप्लिकेशन्स को संशोधित करने हेतु डिज़ाइन किया गया एक टूल
  • Quasar: Electron ऐप्स से समझौता करना
• Raphael Mudge को रेड टीमिंग में गहराई से उतरने की प्रेरणा देने और इस टूल के रिलीज़ में सहयोग देने के लिए
  • The Security Conversation
• Fletcher Davis
  • BSides : Electron एप्लिकेशन्स का दुरुपयोग
• Pavel Tsakalidis

लाइसेंस

यह प्रोजेक्ट Business Source License 1.1 के तहत लाइसेंस प्राप्त है। लाइसेंस की शर्तों के तहत गैर-व्यावसायिक उपयोग की अनुमति है। व्यावसायिक उपयोग के लिए लेखक की स्पष्ट अनुमति आवश्यक है। 3 अप्रैल 2030 को, यह लाइसेंस Apache 2.0 में परिवर्तित हो जाएगा। पूर्ण विवरण के लिए LICENSE देखें।