Lockjaw - उन्नत विंडोज C2 फ्रेमवर्क (v0.2.15)

Lockjaw एक उन्नत, मॉड्यूलर कमांड-एंड-कंट्रोल (C2) फ्रेमवर्क है जिसे रेड टीम एंगेजमेंट, एडवर्सरियल सिमुलेशन और स्टील्थ ऑपरेशंस के लिए डिज़ाइन किया गया है। यह एक आधुनिक स्प्लिट-लैंग्वेज आर्किटेक्चर का उपयोग करता है: एक उच्च-समवर्ती Rust टीमसर्वर, एक मायावी, निर्भरता-मुक्त Zig इम्प्लांट और शुद्ध-असेंबली पोजीशन-इंडिपेंडेंट कोड (PIC) स्टेजर के साथ।

यह अल्फा सॉफ्टवेयर है अपने जोखिम पर उपयोग करें। सभी सुविधाओं का परीक्षण नहीं किया गया है, कोड की समीक्षा नहीं की गई है। इसमें बग हैं और कुछ कमांड काम नहीं कर सकते हैं।

निम्नलिखित का परीक्षण किया गया है:

• टीमसर्वर और क्लाइंट संचार
• EXE इम्प्लांट
• रिकॉन के लिए एजेंट कमांड
• प्रोसेस इंजेक्शन

BOF समर्थन का परीक्षण नहीं किया गया है।

---

आर्किटेक्चर अवलोकन

                      +------------------------------------+
                      |       Operator CLI (Python)        |
                      |   Async TUI / Prompt-Toolkit       |
                      +-----------------+------------------+
                                        | HTTPS / REST API (Port 50051)
                                        v
                      +------------------------------------+
                      |       Lockjaw Teamserver           |
                      |          (Rust / Tokio)            |
                      |  - SQLite Storage (SQLx)           |
                      |  - Dynamic Zig Cross-Compiler      |
                      |  - Multi-Transport Listener Manager|
                      +--------+------------------+--------+
                               |                  |
                    HTTPS / HTTP                  DNS (UDP 53)
                    (WinHTTP)                     (Hickory DNS / Base32)
                               |                  |
                               v                  v
                      +------------------------------------+
                      |       Lockjaw Implant (Zig)        |
                      |  - Indirect Syscalls (Halo's Gate) |
                      |  - Reflective & PoolParty Injection|
                      |  - In-Memory BOF Execution Engine  |
                      |  - Ghost AMSI Bypass (HWBP + VEH)  |
                      |  - IAT-Clean Dynamic API Resolv.   |
                      |  - RC4-Encrypted Communications    |
                      +------------------------------------+

• टीमसर्वर (Rust): Tokio और Axum पर Rustls के साथ बनाया गया। एजेंट चेकइन, टास्क डिस्पैचिंग, लिसनर लाइफसाइकिल और SQLite परसिस्टेंस का प्रबंधन करता है। Zig और GNU objcopy का लाभ उठाते हुए ऑन-डिमांड पेलोड क्रॉस-कंपाइलेशन पाइपलाइन को एकीकृत करता है।
• इम्प्लांट (Zig & Assembly): x86_64-windows को मूल रूप से लक्षित करते हुए क्रॉस-संकलित। स्टैंडअलोन, शून्य बाहरी C-रनटाइम निर्भरताएँ, .Windows सबसिस्टम में चल रहा है (हेडलेस, कोई कंसोल विंडो नहीं)।
• स्टेजर्स (PIC Assembly & PowerShell): हार्डन किया गया x64 पोजीशन-इंडिपेंडेंट असेंबली स्टेजर (pic_stager.s) सुरक्षित-स्टैक आर्किटेक्चर, शैडो स्पेस संरक्षण और डायनामिक PEB ट्रैवर्सल के साथ, हल्के PowerShell डाउनलोड क्रैडल के साथ।
• ऑपरेटर CLI (Python 3): prompt_toolkit पर निर्मित एसिंक्रोनस TUI जिसमें रीयल-टाइम चेकइन अलर्ट, न्यूमेरिक इंडेक्सिंग, प्रीफिक्स मैचिंग, कॉन्टेक्स्ट मैनेजमेंट और स्वचालित फ़ाइल अपलोड/डाउनलोड सिंक्रोनाइज़ेशन शामिल हैं।

---

मुख्य क्षमताएँ और विशेषताएँ

1. इवेज़न और एंटी-एनालिसिस

• इनडायरेक्ट सिस्कॉल (Hell's Gate + Halo's Gate):
  • DJB2 हैशिंग का उपयोग करके इन-मेमोरी ntdll.dll से सीधे सिस्टम सर्विस नंबर (SSNs) को गतिशील रूप से निकालता है।
  • Halo's Gate नेबर स्कैनिंग (ऊपर और नीचे 32 स्लॉट तक) के माध्यम से हुक किए गए सिस्कॉल को पुनर्प्राप्त करता है।
  • ntdll.dll के .text सेक्शन के भीतर स्थित वैध syscall; ret गैजेट्स पर सीधे कूदता है, उपयोगकर्ता-मोड API हुक, कॉल स्टैक निरीक्षण और रिटर्न-एड्रेस ओरिजिन चेक से बचता है।
• "घोस्ट" AMSI बाईपास (HWBP + VEH):
  • हार्डवेयर ब्रेकपॉइंट्स (DR0/DR7) और वेक्टर्ड एक्सेप्शन हैंडलिंग (AddVectoredExceptionHandler) का उपयोग करके इन-मेमोरी AMSI न्यूट्रलाइज़र।
  • AmsiScanBuffer पर डीबग रजिस्टर कॉन्फ़िगर करने के लिए एक आंतरिक अपवाद (0xDEADBEEF) को ट्रिगर करता है।
  • EXCEPTION_SINGLE_STEP को पकड़ता है, RAX (AMSI_RESULT_CLEAN = 0) को शून्य करता है, और कॉलर को निष्पादन को साफ-सुथरा लौटाता है।
  • शून्य .text मेमोरी बाइट्स को संशोधित करता है और SetThreadContext डिटेक्शन वैक्टर से बचता है।
• 100% IAT-क्लीन और डायनामिक API रिज़ॉल्यूशन:
  • संवेदनशील Win32/NT APIs के लिए शून्य स्टैटिक इम्पोर्ट।
  • PEB (InLoadOrderModuleList) को पार करके मॉड्यूल को हल करता है और कंपाइल-टाइम केस-सेंसिटिव (djb2) और केस-इनसेंसिटिव (djb2_i) हैशिंग के माध्यम से फ़ंक्शन एड्रेस को गतिशील रूप से हल करता है।
• एन्क्रिप्टेड संचार:
  • सभी एजेंट-टीमसर्वर संचार (चेकइन, टास्किंग, परिणाम) में सिमेट्रिक RC4 स्ट्रीम एन्क्रिप्शन।
  • PID, TID और मशीन नाम से लीनियर कॉन्ग्रुएंशियल जनरेटर (LCG) के माध्यम से प्राप्त अद्वितीय एजेंट पहचान।
• स्टील्थ फुटप्रिंट:
  • .Windows सबसिस्टम GUI एप्लिकेशन के रूप में संचालित होता है।
  • ShowWindow(hWnd, SW_HIDE) के माध्यम से कंसोल विंडो को दबाता है।
  • रैंडमाइज्ड जिटर एल्गोरिदम के साथ कॉन्फ़िगर करने योग्य बीकन स्लीप।
  • स्वचालित SSL प्रमाणपत्र त्रुटि बाईपास (SECURITY_IGNORE_ALL_CERT_ERRORS) स्व-हस्ताक्षरित TLS प्रमाणपत्रों और डोमेन फ्रंटिंग के साथ परिचालन उपयोग को सक्षम करता है।
• सेल्फ-डिस्ट्रक्ट:
  • एजेंट प्रक्रिया को बंद कर देता है और डिस्क से बाइनरी को सुरक्षित रूप से मिटाने के लिए एक अलग, एसिंक्रोनस क्लीनअप कमांड (ping 127.0.0.1 -n 3 > nul & del /f /q ...) को स्पॉन करता है।

2. प्रोसेस माइग्रेशन और इंजेक्शन

• डायरेक्ट रिफ्लेक्टिव मैनुअल मैपिंग (migrate <pid> reflective):
  • एजेंट की निष्पादन योग्य इमेज को डुअल-मैप्ड साझा मेमोरी सेक्शन (NtCreateSection + NtMapViewOfSection स्थानीय रूप से RW और दूरस्थ रूप से RWX मैप किए गए) का उपयोग करके एक दूरस्थ लक्ष्य प्रक्रिया में मैन्युअल रूप से मैप करता है।
  • संदिग्ध दूरस्थ वर्चुअल मेमोरी आवंटन (NtAllocateVirtualMemory / NtWriteVirtualMemory) से बचता है।
  • NtCreateThreadEx इनडायरेक्ट सिस्कॉल के माध्यम से दूरस्थ थ्रेड निष्पादन शुरू करने से पहले साझा मेमोरी के भीतर सीधे स्थानीय PE हेडर कॉपीिंग, सेक्शन मैपिंग, बेस रिलोकेशन डेल्टा फिक्स और इम्पोर्ट टेबल रिज़ॉल्यूशन करता है।
  • 32-बिट (WOW64) इंजेक्शन बेमेल से बचाने के लिए अंतर्निहित आर्किटेक्चर सत्यापन।
• रिफ्लेक्टिव PoolParty इंजेक्शन (migrate <pid> reflective_poolstomp):
  • रिफ्लेक्टिव सेक्शन मैपिंग को उन्नत PoolParty प्रोसेस इंजेक्शन के साथ जोड़ता है।
  • मौजूदा थ्रेड पूल वर्कर फ़ैक्टरी (TpWorkerFactory) को खोजने के लिए NtQuerySystemInformation के माध्यम से दूरस्थ प्रक्रिया हैंडल को एन्यूमरेट करता है।
  • WorkerFactoryBasicInformation को क्वेरी करता है, फ़ैक्टरी के StartRoutine को एक निष्पादन ट्रैम्पोलिन के साथ ओवरराइट करता है, और NtSetInformationWorkerFactory के माध्यम से WorkerFactoryThreadMinimum को बढ़ाकर एजेंट निष्पादन को ट्रिगर करता है।
  • शून्य नई थ्रेड निर्माण: CreateRemoteThread / NtCreateThreadEx (जैसे, Sysmon इवेंट ID 8, ETW थ्रेट इंटेलिजेंस प्रोवाइडर) पर आधारित टेलीमेट्री और अलर्ट को पूरी तरह से टालता है।

3. इन-मेमोरी निष्पादन: बीकन ऑब्जेक्ट फ़ाइलें (BOF)

• AMD64 ऑब्जेक्ट फ़ाइलों का समर्थन करने वाला अंतर्निहित COFF लोडर।
• रिलोकेशन (IMAGE_REL_AMD64_ADDR64, IMAGE_REL_AMD64_ADDR32, IMAGE_REL_AMD64_ADDR32NB, IMAGE_REL_AMD64_REL32) का पूर्ण आंतरिक प्रबंधन।
• मानक __imp__<DLL>$<Function> कन्वेंशन का उपयोग करके बाहरी डायनामिक निर्भरताओं को हल करता है।
• बीकन API संगतता फ़ंक्शन लागू करता है:
  • तर्क पार्सिंग: BeaconDataParse, BeaconDataInt, BeaconDataShort, BeaconDataLength, BeaconDataExtract।
  • आउटपुट फ़ॉर्मेटिंग: BeaconFormatAlloc, BeaconFormatReset, BeaconFormatFree, BeaconFormatAppend, BeaconFormatPrintf, BeaconFormatToString, BeaconFormatInt।
  • निष्पादन आउटपुट और डायग्नोस्टिक्स: BeaconOutput, BeaconPrintf, BeaconIsAdmin।