AtlasC2

C# C2 Framework स्टेज 1 ऑपरेशन्स पर केंद्रित

Atlas एक वातावरण में पैर जमाने और फिर HTTP-आधारित इम्प्लांट का उपयोग करके C# (वर्तमान में केवल C#) हथियारों को तस्करी करने पर केंद्रित है। अपनी वर्तमान स्थिति में यह बिल्कुल OPSEC सुरक्षित नहीं है... बिल्कुल भी नहीं। वर्तमान में केवल विंडोज़ वातावरण को लक्षित करता है।

ध्यान दें: इम्प्लांट पर डिफ़ॉल्ट कनेक्शन सेटिंग्स localhost पर पोर्ट 8080 से कनेक्ट करने के लिए सेट हैं, इसे यहाँ बदला जा सकता है।

उपयोग

TeamServer शुरू करना

क्लाइंट, टीमसर्वर और इम्प्लांट का एक्से जनरेट करने के बाद, TeamServer शुरू करने के लिए बस Teamserver.exe निष्पादित करें।

लिसनर शुरू करना/प्रबंधित करना

एक नया लिसनर शुरू करने के लिए StartListener कमांड का उपयोग करें। यह कमांड दो पैरामीटर लेता है: लिसनर का नाम और उस पोर्ट पर चलाने के लिए।

Listeners कमांड सभी लिसनर को सूचीबद्ध करता है, ViewListener निर्दिष्ट लिसनर पर डेटा लौटाता है, और RemoveListener का उपयोग किसी लिसनर को सूची से हटाने के लिए किया जा सकता है।

इम्प्लांट के साथ इंटरफेस करना

कनेक्टेड इम्प्लांट को सूचीबद्ध करना Implants कमांड का उपयोग करके किया जा सकता है।

एक इम्प्लांट से कनेक्ट करना उतना ही सरल है जितना Connect <ImplantId>। देखा मैंने वहाँ क्या किया?... ठीक है, मैं खुद ही चला जाता हूँ। जिस प्रकार Connect कमांड का उपयोग एक इम्प्लांट को चुनने के लिए किया जाता है, ViewImplant का उपयोग चयनित इम्प्लांट पर अधिक जानकारी देखने के लिए किया जा सकता है। Disconnect कमांड वर्तमान में चयनित इम्प्लांट को अचयनित कर देगा जैसा कि नीचे दिखाया गया है।

कार्यों को निष्पादित करना

एक कार्य का उपयोग करने के लिए, पहले SetTask का उपयोग करके एक कार्य चुना जाना चाहिए। विकल्प TaskOpts का उपयोग करके देखे जा सकते हैं और SetTaskOpt का उपयोग करके सेट किए जा सकते हैं। कार्य SendTask का उपयोग करके निष्पादित किए जाते हैं।

पिछले कार्यों को देखना

पहले से चलाए गए कार्य के आउटपुट को TaskOut का उपयोग करके देखना संभव है। TasksOut का उपयोग चयनित इम्प्लांट से संबंधित सभी पहले चलाए गए कार्यों को देखने के लिए किया जा सकता है।

शेल निष्पादन

Atlas ऑपरेटरों को PSShell और CMDShell कार्यों का उपयोग करके क्रमशः PowerShell और Cmd कमांड निष्पादित करने की अनुमति देता है। PSShell एक नया रनस्पेस खोलता है और कमांड को निष्पादित करता है, इसलिए भले ही powershell.exe ब्लैकलिस्टेड हो, PowerShell कमांड अभी भी निष्पादित किए जा सकते हैं। यह विधि कंस्ट्रेंड लैंग्वेज मोड को भी बायपास करती है। CMDShell एक cmd.exe प्रक्रिया खोलता है और कमांड को प्रक्रिया में भेजता है। PowerShell कमांड का निष्पादन ऊपर दिखाया गया था, इसलिए इसे यहाँ नहीं दिखाया जाएगा। CMDShell के बारे में एक साइड नोट, कई सामान्य कमांड (जिनमें whoami, ipconfig, pwd और cd शामिल हैं, लेकिन इन्हीं तक सीमित नहीं) को cmd.exe प्रक्रिया के माध्यम से निष्पादित करने की आवश्यकता से बचने के लिए इम्प्लांट की कार्यक्षमता में लागू किया गया है।

C# असेंबली को मेमोरी में लोड करना

असेंबली लोड करने में कुछ कदम लगते हैं, जैसे CobaltStrike जो execute-assembly का उपयोग करके सब कुछ करता है। पहले, एक ऑपरेटर को ByteConvert उपयोगिता का उपयोग करना चाहिए (ByteConvert को बताया जाना चाहिए कि फ़ाइल स्थानीय है या रिमोट) ताकि स्थानीय रूप से संग्रहीत या रिमोट फ़ाइल को बाइट ऐरे में बदला जा सके और इसे assemBytes वेरिएबल में संग्रहीत किया जा सके। एक बार यह हो जाने पर, Load कार्य का उपयोग असेंबली को इम्प्लांट प्रक्रिया में लोड करने के लिए किया जाता है।

लोड की गई असेंबली देखना

इम्प्लांट प्रक्रिया में लोड की गई असेंबली देखने के लिए, ऑपरेटर AssemQuery और AssemMethodQuery कार्यों का उपयोग कर सकते हैं। पहला सभी लोड की गई असेंबली लौटाता है जबकि दूसरा एक लोड की गई असेंबली से संबंधित सभी सार्वजनिक विधियों को लौटाता है।

स्क्रीनशॉट पुष्टि करता है कि TestAssem असेंबली वास्तव में इम्प्लांट की प्रक्रिया में लोड की गई थी।

AssemMethodQuery का उपयोग तब TestAssem पर जानकारी वापस करने के लिए किया जा सकता है जिसका उपयोग ऑपरेटर सार्वजनिक विधियों को निष्पादित करने के लिए कर सकता है।

लोड की गई असेंबली निष्पादित करना

Atlas एक असेंबली को उसके प्रवेश बिंदु या एक निर्दिष्ट सार्वजनिक विधि से निष्पादित करने का विकल्प प्रदान करता है। ExecuteAssem का उपयोग प्रवेश बिंदु से निष्पादित करने के लिए किया जा सकता है। यह कार्य केवल असेंबली का नाम लेता है। ExecuteAssemMethod AssemMethodQuery से प्राप्त जानकारी का उपयोग करके अन्य विधियों के निष्पादन की अनुमति देता है।

सुविधाओं की पूरी सूची के लिए, विकी पर जाएँ।

संकलन

.sln खोलें और सभी 3 घटकों को Release मोड में बनाएँ, कंसोल विंडो और एक्से प्रत्येक घटक के \bin\debug में उत्पन्न होने चाहिए। मुझे इसके लिए कुछ बेहतर काम करना है।

करने के लिए

• प्रमाणीकरण
• PowerShell कमांड को एन्कोड करें
• एडमिन उपयोगिताएँ जोड़ें:
  • cp
  • upload/download
• कीलॉगर (शायद इम्प्लांट में लोड करने के लिए स्टैंडअलोन बनाएँ)
• कुछ बेयरबोन्स पर्सिस्टेंस कमांड (जैसे ADSI के माध्यम से उपयोगकर्ता बनाना, WMI सब्सक्रिप्शन बनाना। शायद इन्हें इम्प्लांट में लोड करने के लिए स्टैंडअलोन असेंबली बनाएँ)
• इम्प्लांट पर स्लीप टाइमिंग बदलने और जिटर लागू करने की अनुमति दें
• ऑपरेटर को CLI के माध्यम से TeamServer शुरू होने वाले पोर्ट को बदलने की अनुमति दें
• एन्क्रिप्टेड संचार (हाँ, मुझे पता है)
• AppDomain मैनिपुलेशन - AppDomains के निर्माण/हटाने की अनुमति दें और ऑपरेटर को यह चुनने की क्षमता दें कि किस AppDomain में असेंबली लोड करनी है
• बेहतर विस्तारशीलता क्षमताएँ
• कुछ प्रोफाइलिंग सिस्टम लागू करें
• स्वचालित संकलन:
  • इम्प्लांट
  • ड्रॉपर/लोडर/स्टेजर
• Donut के माध्यम से शेलकोड जनरेशन
• BOFs अच्छे होंगे

अस्वीकरण

Atlas केवल शैक्षिक/नैतिक उद्देश्यों के लिए डिज़ाइन किया गया था। मैं Atlas के उपयोगकर्ताओं द्वारा किए गए कार्यों का समर्थन नहीं करता और न ही इसके लिए जिम्मेदार हूँ।