Adrenaline BOF Kit

Una raccolta C2-agnostica di Beacon Object Files (BOF) per operazioni di red team e security offensiva. I BOF sono organizzati per fase della catena d'attacco e progettati per essere piccoli, modulari e adatti all'automazione per l'uso in flussi di lavoro di ricognizione, enumerazione e post-sfruttamento.

Indice dei contenuti (tassonomia MITRE)

Raccolta
Community
Accesso alle Credenziali
Scoperta
Esecuzione

Raccolta

BOF	Utilizzo
ai_surface	Mappa gli strumenti AI su endpoint di sviluppo Windows e evidenzia gli artefatti di configurazione che possono esporre definizioni di server, comandi, argomenti e credenziali incorporate.
clipboard_grab	Recupera i dati testuali dagli appunti di Windows utilizzando le API Win32 e restituisce il contenuto al callback. Crediti originali del codice: @rvrsh3ll
ide_extension_surface	Enumera i manifesti delle estensioni di VS Code, Cursor, Windsurf, Zed, Insiders, OSS e server/remote dalle radici del profilo per utente e riassume l'identità dell'estensione, gli eventi di attivazione e i segnali di capacità.
powershell_history	Raccoglie artefatti della cronologia di PowerShell dalle posizioni predefinite di PSReadLine e transcript. Utile per localizzare credenziali o infrastrutture.
window_handles_enum	Enumera gli handle delle finestre su tutti i processi di sistema e utilizza un handle di finestra legittimo per accedere agli appunti.

Community

Accesso alle Credenziali

Scoperta

Esecuzione

Connettiti con me:

ESCLUSIONE DI RESPONSABILITÀ: I creatori e i collaboratori di questo repository non si assumono alcuna responsabilità per perdite, danni o conseguenze derivanti dall'utilizzo delle informazioni o del codice contenuti in questo repository. Utilizzando questo repository, riconosci e accetti la piena responsabilità per le tue azioni. Usalo a tuo rischio e pericolo.

notepad_grab	Estrae e restituisce testo semplice direttamente dalle finestre di Blocco Note aperte leggendo la memoria, consentendo agli operatori di recuperare note non salvate o in memoria. Utile per la raccolta dati da endpoint live. Fonte originale: NoteThief
schtask_enum	Enumera le attività pianificate sui sistemi Windows utilizzando l'interfaccia COM di Task Scheduler. Fornisce un riepilogo delle attività includendo stato, pianificazione e configurazione senza sovraccaricare il beacon con dati XML. Fonte originale: TrustedSec CS-Situational-Awareness-BOF
net_use	Aggiungi, elenca o rimuovi unità mappate tramite MPR (Modernizzato per gestire correttamente la memoria, evitando crash) Fonte originale: TrustedSec CS-Situational-Awareness-BOF
session_view	Enumera le sessioni di Servizi Terminal di Windows, mostrando ID sessione, nomi utente, domini, stati di connessione e LUID di sessione. Fonte originale: SessionView di lsecqt

certstore_loot	Enumera i certificati locali per trovare certificati con chiavi private esportabili e fornisce il percorso per esportarli.
cloud_metadata_check	Sonda i servizi di metadati cloud-local per AWS, Azure e GCP dal processo corrente, riportando l'identità del provider, il contesto dell'istanza e frammenti di credenziali limitati quando raggiungibili.
process_tokens_list	Enumera i token accessibili dai processi in esecuzione, mostrando il contesto utente, il tipo di token (primario/impersonificazione) e il livello di impersonificazione. Supporta il filtraggio opzionale per PID o nome processo. SeDebugPrivilege è disabilitato per impostazione predefinita per OPSEC.

amsi_etw_detect	Verifica la presenza di AMSI ed ETW nel processo corrente rilevando DLL caricate ed export relativi a ETW. Utile per selezionare target con meno attività di sicurezza quando applicato su larga scala.
app_count	Conta il numero di applicazioni installate tramite il registro, deduplica e stampa. Applicato a un gran numero di beacon, permette di dedurre informazioni su un dispositivo basandosi sulle differenze nel conteggio delle app.
applocker_policy	Enumera le configurazioni dei criteri AppLocker, le raccolte di regole e le modalità di enforcement analizzando le chiavi di registro pertinenti.
asr_status	Enumera le regole di Windows Defender Attack Surface Reduction (ASR) dalle posizioni del registro per identificare quali regole ASR sono configurate, il loro stato di enforcement (Blocca/Controllo/Avviso/Disabilitato) e la fonte del criterio (Intune/MDM vs Criteri di gruppo).
bitlocker_status	Enumera lo stato di crittografia di BitLocker, le configurazioni dei criteri e le posizioni di backup delle chiavi di ripristino analizzando le chiavi di registro.
mdm_policy_artifacts	Utilizza un modello di punteggio per valutare la postura di registrazione MDM sui sistemi Windows, valutando indicatori tra cui lo stato di join, le attività pianificate, la configurazione dei criteri e gli artefatti di registrazione.
netjoin_query	Interroga le informazioni di join al dominio Windows e i dettagli della workstation, identificando se il sistema è unito a un dominio o in un gruppo di lavoro.
power_state	Identifica il fattore di forma dell'host come Laptop, Desktop, Tablet, Server, Embedded o Sconosciuto utilizzando i dati del telaio SMBIOS con fallback sullo stato di alimentazione.
proxy_enum	Enumera lo stato della configurazione del proxy Windows attraverso WinINET, WinHTTP, chiavi di criterio, variabili d'ambiente, indicatori WPAD, impostazioni Chrome e valori `defaultProxy` di .NET.
tray_scout	Restituisce l'eseguibile host della barra delle applicazioni ed enumera i suggerimenti delle icone di notifica dell'area di sistema, con percorsi immagine completi opzionali per l'host e per il processo proprietario di ciascuna icona.
user_idle	Ottiene il tempo di inattività dell'utente dall'ultimo input e l'utilizzo delle risorse GUI (handle GDI/USER) nel processo corrente per intelligence temporale.
wallpaper_enum	Enumera il percorso dello sfondo del desktop corrente per ciascun monitor collegato utilizzando l'interfaccia COM moderna IDesktopWallpaper. Gli sfondi centralizzati si trovano talvolta su condivisioni SMB interne o server di imaging, rivelando percorsi di rete, trust di dominio e applicazione di criteri senza toccare il disco o la rete.
wef_detect	Rileva la configurazione di Windows Event Forwarding (WEF), che indica un logging centralizzato. Se trovato, indica che gli eventi di sicurezza vengono inoltrati a un server centrale.
window_list	Enumera i titoli di tutte le finestre visibili sul desktop dell'utente corrente, opzionalmente includendo gli ID di processo (PID).
wsc_status	Interroga lo stato di salute del Centro sicurezza di Windows, inclusi Antivirus, Firewall, Anti-Spyware, servizio WSC, Aggiornamenti automatici, Impostazioni Internet e Controllo account utente.
win_version	Questo BOF interroga il registro di sistema e le API di sistema per fornire una panoramica concisa ma dettagliata dell'installazione di Windows.

com_probe	Verifica se un oggetto COM può essere istanziato da un dato CLSID.
firewall_rule	Aggiungi, rimuovi o interroga regole del firewall di Windows tramite l'API COM (`INetFwPolicy2`) senza generare `netsh.exe` o `cmd.exe`. Utile per il pivot all'interno delle reti.
port_scan	Scansiona un singolo host IPv4 per porte TCP e/o UDP aperte tramite Winsock con elenchi di porte limitati, timeout configurabili e output conciso delle porte aperte.
service_control	Gestisce i servizi Windows locali tramite SCM: interroga (elenco limitato o singolo servizio), crea, avvia, ferma, elimina e configura azioni in caso di fallimento. Di solito sono richiesti diritti elevati per le modifiche.
wevt_logon_enum	Enumera gli eventi di logon recenti (riusciti/falliti) dal registro di sicurezza (ID evento 4624,4625,4672) tramite l'API wevtapi e stampa il nome/indirizzo IP della workstation remota più il nome utente di destinazione.

Più Popolari

Adrenaline