jm33-m0/emp3r0rस्व-उपचार गॉसिप मेश C2 सहायता प्राप्त पीयर डिस्कवरी, क्रॉस-प्लेटफॉर्म BOF निष्पादन, और स्क्रिप्टेबल एजेंट्स के साथ।
Linux और Windows के लिए एक स्व-उपचारकारी, केवल-मेमोरी C2 — ऐसे एजेंट जो टूटे हुए लिंक से बच जाते हैं, कभी डिस्क को छूते नहीं, और Win32 API के माध्यम से स्क्रिप्ट करते हुए आगे बढ़ते हैं।
emp3r0r एक पोस्ट-एक्सप्लॉइटेशन फ्रेमवर्क और C2 है जो Linux और Windows वातावरणों के लिए बनाया गया है जहाँ स्टील्थ और रेज़िलिएंस वैकल्पिक नहीं हैं। एक सर्वर से विश्वसनीय कनेक्शन मानने के बजाय, एजेंट एक स्व-उपचारकारी मेश बनाते हैं जो लिंक टूटने पर भी काम करता रहता है। टारगेट से Python या PowerShell मांगने के बजाय, वे सब कुछ मेमोरी में निष्पादित करते हैं। और आपको एक प्लेटफ़ॉर्म की ट्रिक्स तक सीमित करने के बजाय, emp3r0r Windows BOFs, Linux objects, और Starlark स्क्रिप्ट चलाता है — सब फाइललेस, सब इन-प्रोसेस।
प्रत्येक एजेंट अपना स्क्रिप्टिंग इंजन लेकर चलता है, ताकि आप बिना कंपाइल किए या बाइनरी शिप किए नया पोस्ट-एक्सप्लॉइटेशन लॉजिक जोड़ सकें।
यह क्यों मायने रखता है: एजेंट कार्यक्षमता लिखना और बढ़ाना एक स्क्रिप्ट संपादित करने जितना सरल हो जाता है, टारगेट पर इंटरप्रेटर या नई बाइनरी डालने के किसी भी फुटप्रिंट के बिना।
एजेंट अपनी पहचान को एक क्रिप्टोग्राफिक कुंजी से बांधते हैं जब वे पहली बार आपसे बात करते हैं — और वह बंधन कभी नहीं बदलता।
यह क्यों मायने रखता है: सेशन हाइजैकिंग और एजेंट क्लोनिंग बस नहीं होती; हर एजेंट जिससे आप बात करते हैं वह वही है जिसे आपने नामांकित किया था।
प्रत्येक C2 और पीयर लिंक सेशन-व्युत्पन्न एन्क्रिप्शन कुंजियों के साथ अल्पकालिक ECDH कुंजियों का उपयोग करता है।
यह क्यों मायने रखता है: भले ही कोई दीर्घकालिक कुंजी बाद में समझौता हो जाए, इसका उपयोग उस ट्रैफ़िक को डिक्रिप्ट करने के लिए नहीं किया जा सकता जो पहले ही गुजर चुका है।
एजेंट एक-दूसरे को खोजते हैं और गॉसिप मेश के माध्यम से ट्रैफ़िक रिले करते हैं, ताकि एक लिंक या एक सर्वर गायब होने पर ऑपरेशन ध्वस्त न हो।
यह क्यों मायने रखता है: नेटवर्क आपके लिए पिवटिंग करता है। एक लिंक काटें, एक बॉक्स खोएं, या C2 को ब्लॉक करें — एजेंट स्वयं पुनः-रूट कर लेते हैं।
फ़ाइलें एजेंटों के बीच सीधे चलती हैं, न कि केवल C2 के माध्यम से।
यह क्यों मायने रखता है: डिलीवरी तेज़ है और अधिकतर C2 चैनल के लिए अदृश्य — एग्रेस-प्रतिबंधित वातावरणों के लिए आदर्श।
एजेंट को अंदर लाना उतनी ही गंभीरता से लिया जाता है जितना उसे जीवित रखना।
यह क्यों मायने रखता है: छोटी, अनुकूलनीय, और मेमोरी-हाइजीनिक प्रारंभिक पहुँच का मतलब है कि आप उन होस्ट्स पर उतर सकते हैं जो अन्यथा पहुँच से बाहर होते।
किसी भी प्लेटफ़ॉर्म पर कंपाइल किए गए C मॉड्यूल इन-प्रोसेस चलाएं:
यह क्यों मायने रखता है: BOFs उतने ही अच्छे होते हैं जितना उनका लोडर — emp3r0r उन्हें इन-प्रोसेस चलाता है, बिना किसी नए प्रोसेस और बिना पीछे छोड़े किसी निशान के, Linux और Windows दोनों पर।
एक बार जब आप Windows होस्ट पर हों, तो emp3r0r आपको उस पर मौजूद उपयोगकर्ता बनने देता है — बिना कभी कोई टूल डाले।
--user फ़्लैग के साथ डिस्पोज़ेबल netonly सेशन बनाएं: वे आपके एजेंट की अपनी पहचान रखते हैं और केवल आउटबाउंड एक्सेस के लिए टारगेट उपयोगकर्ता की पहचान उधार लेते हैं — कोई भी पासवर्ड काम करता है, कुछ भी कभी मान्य नहीं होता।--ticket फ़्लैग के साथ Kerberos टिकट आयात करें: आपकी नेटवर्क पहचान टिकट की हो जाती है (जैसे, Domain Admin) जबकि आपकी स्थानीय पहचान कभी नहीं बदलती।--token, --user, और --ticket स्वीकार करता है, इसलिए पहचान बदलना एक फ़्लैग दूर है — जिसमें एक ही कमांड में सेशन बनाना और टिकट लोड करना शामिल है।यह क्यों मायने रखता है: उन मशीनों पर लेटरल मूवमेंट जिन पर कोई एजेंट नहीं चल रहा — SMB शेयर, सर्विस कंट्रोल, CIFS — आपके वर्कफ़्लो का सामान्य हिस्सा बन जाता है, उस उपयोगकर्ता के रूप में प्रमाणित जिसे आपने उधार लिया है, न कि डिस्क पर किसी टूल के रूप में।
एक और इम्प्लांट जलाए बिना पिवट करें: C2 एक SOCKS5 प्रॉक्सी चलाता है जो आपके चुने हुए एजेंट के माध्यम से रिले करता है, और ऑपरेटर साइड एक ट्रांसपेरेंट TUN डिवाइस के साथ एक कदम आगे जा सकता है।