🛡️ BitLock Framework: क्रिप्टोवायरोलॉजी और C2 पारिस्थितिकी तंत्र (PoC)

यह रिपॉज़िटरी आधुनिक खतरे वास्तुकलाओं के अध्ययन के लिए डिज़ाइन की गई एक व्यापक प्रूफ ऑफ कॉन्सेप्ट (PoC) है। यह परियोजना एक फ़ाइलरहित हमले के वातावरण का अनुकरण करती है, जिसमें एक कमांड और कंट्रोल (C2) बुनियादी ढाँचा शामिल है, जो एलिप्टिक कर्व क्रिप्टोग्राफी और सुरक्षित मिटाने के प्रोटोकॉल द्वारा संरक्षित है।

---

🔬 हमले के जीवनचक्र का विश्लेषण

यह सिस्टम तीन मुख्य मॉड्यूल के समन्वित निष्पादन के माध्यम से संचालित होता है, जो पारंपरिक सुरक्षा उपायों को दरकिनार करने और सर्वर पर कुंजियों की स्थायित्व सुनिश्चित करने के लिए डिज़ाइन किए गए हैं।

1. अस्थिर घुसपैठ (load.py)

हमला स्टेज 0 स्टेजर से शुरू होता है। इसका मुख्य कार्य EDR (एंडपॉइंट डिटेक्शन एंड रिस्पॉन्स) से बचना है:

• क्षणिक हैंडशेक: RAM में एक अद्वितीय AES-256 कुंजी उत्पन्न करता है और इसे पोर्ट 5001 पर प्रेषित करता है।
• पेलोड एन्क्रिप्शन: सर्वर भेजने से पहले वास्तविक समय में रैनसमवेयर को एन्क्रिप्ट करता है, जिससे स्थिर हस्ताक्षरों द्वारा पैकेट निरीक्षण विफल हो जाता है।
• इन-मेमोरी निष्पादन: पेलोड को डिक्रिप्ट किया जाता है और सीधे अस्थायी मेमोरी में बाइटकोड में संकलित किया जाता है।
• एंटी-फॉरेंसिक: exec() को कॉल करने से पहले कुंजी और सादे पाठ स्रोत कोड को नष्ट करने के लिए secure_wipe लागू करता है।

2. C2 चैनल स्थापना (BitLockC2Server.py)

सर्वर क्रिप्टोग्राफ़िक संपत्तियों के प्रबंधन के लिए एक बख़्तरबंद तिजोरी के रूप में कार्य करता है:

• तिजोरी की मजबूती: कुंजी डेटाबेस AES-256-GCM एन्क्रिप्शन का उपयोग करता है, जिसमें PBKDF2 (480,000 पुनरावृत्तियाँ) व्युत्पत्ति है।
• भौतिक सुरक्षा: --del कमांड एक डेटा श्रेडिंग एल्गोरिदम को सक्रिय करता है, जो फ़ाइलों को यादृच्छिक कचरे से ओवरराइट करता है और हार्डवेयर बफ़र फ्लश सुनिश्चित करने के लिए os.fsync() का उपयोग करता है।

3. लक्ष्य एन्क्रिप्शन इंजन (BitLock-client.py)

इंजेक्ट किया गया मॉड्यूल सैन्य मानकों के साथ फ़ाइल एन्क्रिप्शन निष्पादित करता है:

• हाइब्रिड हैंडशेक: परफेक्ट फ़ॉरवर्ड सीक्रेसी (PFS) प्राप्त करने के लिए ECDHE (कर्व P-384) लागू करता है। यदि एलिप्टिक कर्व लाइब्रेरीज़ उपलब्ध नहीं हैं तो इसका RSA-4096 में स्वचालित फ़ॉलबैक है।
• प्रमाणित एन्क्रिप्शन: यह सुनिश्चित करने के लिए AES-GCM का उपयोग करता है कि मूल अखंडता हस्ताक्षर के बिना फ़ाइलों को न तो बदला जा सके और न ही पुनर्प्राप्त किया जा सके।
• बुद्धिमान चोरी: ऑपरेटिंग सिस्टम के पतन से बचने और परिणाम रिपोर्ट की दृश्यता सुनिश्चित करने के लिए महत्वपूर्ण सिस्टम निर्देशिकाओं (Windows, /bin/, /etc/) को छोड़ता है।

---

📊 प्रवाह आरेख (डेटा पाइपलाइन)

graph TD
    A[क्लाइंट: load.py चलाता है] -->|1. क्षणिक कुंजी भेजता है| B(C2 सर्वर: पोर्ट 5001)
    B -->|2. एन्क्रिप्टेड पेलोड भेजता है| A
    A -->|3. RAM में डिक्रिप्ट और निष्पादित करता है| C[BitLock-Payload]
    C -->|4. ECDHE विनिमय| D(C2 सर्वर: पोर्ट 5000)
    D -->|5. कुंजी तिजोरी में संग्रहीत करता है| E[(PBKDF2 एन्क्रिप्टेड DB)]
    C -->|6. AES-GCM एन्क्रिप्शन| F[.locked फ़ाइलें]
    C -->|7. आत्म-विनाश| G[प्रक्रिया समाप्त]

---

⚙️ सुरक्षा तकनीकी विशिष्टताएँ

मॉड्यूल	प्रौद्योगिकी	फोरेंसिक उद्देश्य
विनिमय	ECDHE (P-384)	नेटवर्क स्निफिंग के माध्यम से कुंजी पुनर्प्राप्ति से बचना।
व्युत्पत्ति	HKDF (SHA-256)	साझा रहस्यों से सममित कुंजियाँ उत्पन्न करना।
एन्क्रिप्शन	AES-256-GCM	डेटा की गोपनीयता और अखंडता सुनिश्चित करना।
DB सुरक्षा	PBKDF2 (480k पुनरावृत्तियाँ)	ऑफ़लाइन ब्रूट-फोर्स हमलों के खिलाफ अधिकतम प्रतिरोध।
मिटाना	7-पास ओवरराइट	फोरेंसिक पुनर्प्राप्ति उपकरणों (FTK/EnCase) को बेअसर करना।

---

⚠️ उत्तरदायित्व अस्वीकरण (एथिकल हैकिंग)

यह परियोजना सख्ती से शैक्षिक और अनुसंधान उद्देश्यों के लिए है।

1. इस उपकरण का पूर्व अनुमति के बिना सिस्टम पर उपयोग गैरकानूनी है और यह एक कंप्यूटर अपराध है।
2. लेखक उपयोगकर्ता या तीसरे पक्ष के बुनियादी ढाँचे को हुए नुकसान के लिए जिम्मेदार नहीं है।
3. यदि उपयोगकर्ता कॉन्फ़िगरेशन त्रुटि के कारण अपने स्वयं के सिस्टम को लॉक कर देता है, तो वह अपने डेटा की पुनर्प्राप्ति की पूरी तकनीकी और आर्थिक जिम्मेदारी स्वीकार करता है।

---

आक्रामक सुरक्षा अनुसंधान और महत्वपूर्ण बुनियादी ढाँचे की रक्षा के लिए विकसित।