msteams

एक Mythic C2 प्रोफ़ाइल जो Microsoft Teams चैनल के माध्यम से संवाद करने के लिए Microsoft Graph API का उपयोग करती है।

यह कैसे काम करता है

Agent <---> Microsoft Teams Channel <---> C2 Server <---> Mythic

1. एजेंट OAuth2 क्लाइंट क्रेडेंशियल्स के माध्यम से Microsoft Entra ID में प्रमाणित होता है
2. अपना Mythic संदेश (base64-एन्कोडेड, AES-एन्क्रिप्टेड) एक Teams चैनल पर पोस्ट करता है
3. C2 सर्वर Graph API के माध्यम से चैनल को पोल करता है, नए संदेशों को Mythic को अग्रेषित करता है
4. Mythic की प्रतिक्रिया वापस चैनल पर पोस्ट की जाती है
5. एजेंट चैनल को पोल करता है और प्रतिक्रिया प्राप्त करता है

संचार सामान्य Teams चैनल गतिविधि के रूप में दिखाई देता है।

यह प्रोफ़ाइल समर्थन करती है:

• Kill Dates
• Jitter के साथ Sleep Intervals
• AES256 एन्क्रिप्शन
• Proxy कॉन्फ़िगरेशन
• वैकल्पिक संदेश सफ़ाई (प्रसंस्करण के बाद संदेश हटाएं)
• भेजने के लिए Webhook fallback

इंस्टॉलेशन

अपने Mythic सर्वर से:

sudo ./mythic-cli install github https://github.com/Whispergate/msteams

या एक स्थानीय फ़ोल्डर से:

sudo ./mythic-cli install folder /path/to/msteams

Entra ID सेटअप

1. App Registration - Azure Portal > Microsoft Entra ID > App registrations में बनाएं
2. Client Secret - Certificates & secrets के अंतर्गत जनरेट करें
3. API Permissions - एप्लिकेशन अनुमतियाँ और व्यवस्थापक सहमति प्रदान करें:
   • ChannelMessage.Read.All - चैनल संदेश पढ़ें
   • ChannelMessage.Send - चैनल संदेश भेजें
4. Team & Channel IDs - Graph Explorer या Teams क्लाइंट चैनल लिंक के माध्यम से प्राप्त करें

यदि ChannelMessage.Send उपलब्ध नहीं है, तो Group.ReadWrite.All का उपयोग करें या एक webhook URL कॉन्फ़िगर करें।

पूर्ण सेटअप निर्देश इंस्टॉलेशन के बाद https://<your-mythic-server>:7443/docs/c2-profiles/msteams पर Mythic दस्तावेज़ पृष्ठ में हैं।

कॉन्फ़िगरेशन

Mythic UI के माध्यम से संपादित करें: C2 Profiles > msteams > View/Edit Config।

संगत एजेंट

• Starburst - WinHTTP-आधारित MS Teams ट्रांसपोर्ट के माध्यम से पूर्ण समर्थन

कोई भी Mythic एजेंट जो msteams C2 प्रोफ़ाइल पैरामीटर लागू करता है, इस प्रोफ़ाइल का उपयोग कर सकता है। एजेंट को आवश्यकता है:

1. कॉन्फ़िगर किए गए क्रेडेंशियल्स का उपयोग करके Graph API में प्रमाणित करना
2. कॉन्फ़िगर किए गए Teams चैनल पर base64-एन्कोडेड Mythic संदेश पोस्ट करना
3. C2 सर्वर से प्रतिक्रियाओं के लिए चैनल को पोल करना

Azure के बिना परीक्षण

किसी भी Azure या M365 खाते के बिना स्थानीय परीक्षण के लिए test/ में एक mock परीक्षण अवसंरचना शामिल है। यह आपको एक स्थानीय नकली Graph API के विरुद्ध पूर्ण C2 पाइपलाइन — संकलित इम्प्लांट सहित — का परीक्षण करने देता है।

Mock सर्वर सेटअप

1. test/mock_server.py को अपने Mythic होस्ट पर कॉपी करें और इसे प्रारंभ करें:

   root@kitploit:~

   python3 mock_server.py
   

   यह पोर्ट 8443 पर एक नकली Graph API प्रारंभ करता है।

2. Mythic में msteams C2 प्रोफ़ाइल को mock मानों के साथ कॉन्फ़िगर करें:

   root@kitploit:~

   {
     "tenant_id": "fake-tenant-id",
     "client_id": "fake-client-id",
     "client_secret": "fake-client-secret",
     "team_id": "fake-team-id",
     "channel_id": "fake-channel-id",
     "graph_base": "http://<mythic-host-ip>:8443/v1.0",
     "login_base": "http://<mythic-host-ip>:8443",
     "poll_interval": 3,
     "clear_messages": true,
     "debug": true
   }
   

3. Mythic UI में msteams प्रोफ़ाइल प्रारंभ करें।

संकलित इम्प्लांट (Starburst) के साथ परीक्षण

mock के विरुद्ध एक वास्तविक संकलित एजेंट का परीक्षण करने के लिए, एजेंट बाइनरी को वास्तविक Graph API एंडपॉइंट्स के बजाय mock सर्वर के IP और पोर्ट के साथ हार्डकोडेड बनाने की आवश्यकता है। Starburst एजेंट कोड (agent_code/src/transport/msteams.cc) में:

// Change these for mock testing:
#define GRAPH_API_HOST  "<mythic-host-ip>"
#define LOGIN_HOST      "<mythic-host-ip>"
#define API_PORT        8443

// And change WINHTTP_FLAG_SECURE to 0 in WinHttpOpenRequest
// since the mock server uses plain HTTP:
        WINHTTP_DEFAULT_ACCEPT_TYPES,
        0

फिर Starburst को पुनः इंस्टॉल करें, msteams प्रोफ़ाइल के साथ एक पेलोड बनाएं (समान fake tenant/client/team/channel IDs का उपयोग करते हुए), और इसे एक Windows VM पर चलाएं जो Mythic होस्ट तक पहुंच सके।

उत्पादन पेलोड बनाने से पहले इन परिवर्तनों को वापस करना याद रखें:

#define GRAPH_API_HOST  "graph.microsoft.com"
#define LOGIN_HOST      "login.microsoftonline.com"
#define API_PORT        443

        WINHTTP_DEFAULT_ACCEPT_TYPES,
        WINHTTP_FLAG_SECURE

नकली एजेंट के साथ परीक्षण (कोई संकलन नहीं)

एजेंट को संकलित किए बिना एक त्वरित पाइपलाइन परीक्षण के लिए:

GRAPH_URL=http://<mythic-host-ip>:8443 python test/fake_agent.py

अधिक विवरण के लिए test/README.md देखें।

OPSEC विचार

• न्यूनतम सदस्यता वाला एक समर्पित निजी चैनल उपयोग करें
• प्रसंस्करण के बाद सफ़ाई के लिए clear_messages सक्षम करें
• रेट लिमिटिंग से बचने के लिए poll_interval उचित रखें (10-30s)
• सभी संदेश Mythic पेलोड स्तर पर AES256-एन्क्रिप्टेड हैं
• Teams संदेश एंड-टू-एंड एन्क्रिप्टेड नहीं हैं (टेनेंट व्यवस्थापकों और Microsoft को दिखाई देते हैं)
• Graph API रेट लिमिट प्रति ऐप प्रति टेनेंट लगभग 30 अनुरोध प्रति सेकंड है

फ़ाइल संरचना

msteams/
  config.json                          # Mythic container config
  C2_Profiles/msteams/
    Dockerfile                         # Container image
    main.py                            # Mythic service entrypoint
    requirements.txt                   # Python dependencies
    rabbitmq_config.json               # RabbitMQ settings
    msteams/
      c2_functions/msteams.py          # C2Profile class + parameters
      c2_code/
        server.py                      # Main polling loop
        graph_client.py                # MS Graph API client
        mythic_client.py               # Mythic API forwarder
        config.py                      # Config singleton
        config.json                    # Default config values
  documentation-c2/msteams/_index.md   # Mythic docs page
  test/
    mock_server.py                     # Mock Graph API server
    fake_agent.py                      # Simulated agent for testing
    test_c2_server.py                  # Standalone C2 server test harness
    test_config.json                   # Test config with fake values