Raccolta di BOF agnostici rispetto al C2, categorizzata per fase della catena di attacco. Progettata per essere piccola e modulare, consentendo esecuzione rapida e automazione.
# Kit BOF Adrenaline <img src="https://raw.githubusercontent.com/atomiczsec/Adrenaline/main/Assets/ADRENALINE.jpg" width="100%"> *Una raccolta di Beacon Object Files (BOF) agnostica rispetto al C2, per operazioni di red team e sicurezza offensiva. I BOF sono organizzati per fase della catena di attacco e progettati per essere piccoli, modulari e facili da automatizzare, per l'uso in attività di ricognizione, enumerazione e post-exploitation.* <div align='center'> ## Indice dei contenuti (tassonomia MITRE) [Collection](#collection) [Community](#community) [Credential Access](#credential-access) [Discovery](#discovery) [Execution](#execution) </div> ## Collection | **BOF** | **Uso** | |--------------------------|------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | **[ai_surface](https://github.com/atomiczsec/adrenaline/blob/main/collection/ai_surface)** | Mappa gli strumenti AI sugli endpoint Windows per sviluppatori ed evidenzia i loro artefatti di configurazione che possono esporre definizioni di server, comandi, argomenti e credenziali incorporate. | | **[clipboard_grab](https://github.com/atomiczsec/adrenaline/blob/main/collection/clipboard_grab)** | Recupera dati testuali dagli appunti di Windows utilizzando le API Win32 e restituisce il contenuto al callback. Crediti del codice originale: [@rvrsh3ll](https://github.com/rvrsh3ll/BOF_Collection) | | **[ide_extension_surface](https://github.com/atomiczsec/adrenaline/blob/main/collection/ide_extension_surface)** | Enumera i manifest delle estensioni di VS Code, Cursor, Windsurf, Zed, Insiders, OSS e server/remote dalle directory dei profili utente e riepiloga identità delle estensioni, eventi di attivazione e segnali di capacità. | | **[powershell_history](https://github.com/atomiczsec/adrenaline/blob/main/collection/powershell_history)** | Raccoglie gli artefatti della cronologia di PowerShell dalle posizioni predefinite di PSReadLine e dai transcript. Utile per individuare credenziali o infrastruttura. | | **[window_handles_enum](https://github.com/atomiczsec/adrenaline/blob/main/collection/window_handles_enum)** | Enumera gli handle delle finestre in tutti i processi di sistema e utilizza un handle di finestra legittimo per accedere agli appunti. | ## Community | **BOF** | **Uso** | |--------------------------|------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | **[notepad_grab](https://github.com/atomiczsec/adrenaline/blob/main/community/notepad_grab)** | Estrae e restituisce testo semplice direttamente dalle finestre di Blocco note aperte leggendo la memoria, consentendo agli operatori di recuperare note non salvate o in memoria. Utile per la raccolta di dati da endpoint attivi. Fonte originale: [NoteThief](https://github.com/trainr3kt/NoteThief) | | **[schtask_enum](https://github.com/atomiczsec/adrenaline/blob/main/community/schtask_enum)** | Enumera le attività pianificate sui sistemi Windows utilizzando l'interfaccia COM di Task Scheduler. Fornisce un riepilogo delle attività, inclusi stato, pianificazione e configurazione, senza sovraccaricare il beacon con dati XML. Fonte originale: [TrustedSec CS-Situational-Awareness-BOF](https://github.com/trustedsec/CS-Situational-Awareness-BOF) | | **[net_use](https://github.com/atomiczsec/adrenaline/blob/main/community/net_use)** | Aggiunge, elenca o rimuove unità mappate tramite MPR (modernizzato per gestire la memoria correttamente, evitando crash) Fonte originale: [TrustedSec CS-Situational-Awareness-BOF](https://github.com/trustedsec/CS-Situational-Awareness-BOF) | | **[session_view](https://github.com/atomiczsec/adrenaline/blob/main/community/session_view)** | Enumera le sessioni di Terminal Services di Windows, mostrando ID di sessione, nomi utente, domini, stati di connessione e LUID di sessione. Fonte originale: [SessionView](https://github.com/lsecqt/SessionView) di lsecqt | ## Credential Access | **BOF** | **Uso** | |--------------------------|------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | **[certstore_loot](https://github.com/atomiczsec/adrenaline/blob/main/credential_access/certstore_loot)** | Enumera gli archivi certificati locali per trovare certificati con chiavi private esportabili e fornisce il percorso per esportarli. | | **[cicd_credential_hunt](https://github.com/atomiczsec/adrenaline/blob/main/credential_access/cicd_credential_hunt)** | Trova artefatti comuni di credenziali CI/CD, cloud e per sviluppatori nel profilo utente Windows corrente (CLI GitHub/GitLab, AWS/GCP, kube/Terraform, gestori di pacchetti, Git, SSH). Riporta percorso e dimensione per impostazione predefinita; `-verbose` opzionale per anteprime di contenuto limitate. `.gitconfig` e `.ssh/config` sono classificati come configurazione, non come artefatti di credenziali. | | **[cloud_metadata_check](https://github.com/atomiczsec/adrenaline/blob/main/credential_access/cloud_metadata_check)** | Sonda i servizi di metadati cloud-locali per AWS, Azure e GCP dal processo corrente, riportando identità del provider, contesto dell'istanza e frammenti di credenziali limitati quando raggiungibili. | | **[process_tokens_list](https://github.com/atomiczsec/adrenaline/blob/main/credential_access/process_tokens_list)** | Enumera i token accessibili dai processi in esecuzione, mostrando contesto utente, tipo di token (primario/impersonazione) e livello di impersonazione. Supporta il filtraggio opzionale per PID o nome del processo. SeDebugPrivilege è disabilitato per impostazione predefinita per OPSEC. | ## Discovery | **BOF** | **Uso** | |--------------------------|------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | **[amsi_etw_detect](https://github.com/atomiczsec/adrenaline/blob/main/discovery/amsi_etw_detect)** | Verifica la presenza di AMSI ed ETW nel processo corrente rilevando DLL caricate ed export correlati a ETW. Utile per selezionare target con meno attività di sicurezza quando applicato su larga scala. | | **[app_count](https://github.com/atomiczsec/adrenaline/blob/main/discovery/app_count)** | Conta il numero di applicazioni installate tramite il registro, rimuove i duplicati e stampa il risultato. Applicato a un gran numero di beacon, consente di dedurre informazioni su un dispositivo in base alle differenze nel conteggio delle app. | | **[applocker_policy](https://github.com/atomiczsec/adrenaline/blob/main/discovery/applocker_policy)** | Enumera le configurazioni dei criteri AppLocker, le raccolte di regole e le modalità di applicazione analizzando le chiavi di registro pertinenti. | | **[asr_status](https://github.com/atomiczsec/adrenaline/blob/main/discovery/asr_status)** | Enumera le regole di Attack Surface Reduction (ASR) di Windows Defender dalle posizioni di registro per identificare quali regole ASR sono configurate, il loro stato di applicazione (Block/Audit/Warn/Disabled) e la fonte del criterio (Intune/MDM vs Criteri di gruppo). | | **[bitlocker_status](https://github.com/atomiczsec/adrenaline/blob/main/discovery/bitlocker_status)** | Enumera lo stato di crittografia BitLocker, le configurazioni dei criteri e le posizioni di backup delle chiavi di ripristino analizzando le chiavi di registro. | | **[mdm_policy_artifacts](https://github.com/atomiczsec/adrenaline/blob/main/discovery/mdm_policy_artifacts)** | Utilizza un modello di punteggio per valutare la postura di registrazione MDM sui sistemi Windows, valutando indicatori tra cui stato di join, attività pianificate, configurazione dei criteri e artefatti di registrazione. | | **[netjoin_query](https://github.com/atomiczsec/adrenaline/blob/main/discovery/netjoin_query)** | Interroga le informazioni di join al dominio Windows e i dettagli della workstation, identificando se il sistema è unito a un dominio o in un gruppo di lavoro. | | **[power_state](https://github.com/atomiczsec/adrenaline/blob/main/discovery/power_state)** | Identifica il fattore di forma dell'host come Laptop, Desktop, Tablet, Server, Embedded o Unknown utilizzando i dati del chassis SMBIOS con un fallback sullo stato di alimentazione. | | **[proxy_enum](https://github.com/atomiczsec/adrenaline/blob/main/discovery/proxy_enum)** | Enumera lo stato di configurazione del proxy Windows su WinINET, WinHTTP, chiavi di criterio, variabili d'ambiente, indicatori WPAD, impostazioni Chrome e valori `defaultProxy` di .NET. | | **[tray_scout](https://github.com/atomiczsec/adrenaline/blob/main/discovery/tray_scout)** | Riporta l'eseguibile host della barra delle applicazioni ed enumera i suggerimenti delle icone di notifica della barra di sistema, con percorsi immagine completi opzionali per l'host e per il processo proprietario di ciascuna icona. | | **[user_idle](https://github.com/atomiczsec/adrenaline/blob/main/discovery/user_idle)** | Ottiene il tempo di inattività dell'utente dall'ultimo input e l'utilizzo delle risorse GUI (handle GDI/USER) nel processo corrente per intelligence sui tempi. | | **[wallpaper_enum](https://github.com/atomiczsec/adrenaline/blob/main/discovery/wallpaper_enum)** | Enumera il percorso dello sfondo del desktop corrente per ciascun monitor collegato utilizzando l'interfaccia COM moderna IDesktopWallpaper. Gli sfondi centralizzati a volte si trovano su condivisioni SMB interne o server di imaging, rivelando percorsi di rete, trust di dominio e applicazione dei criteri senza toccare il disco o la rete. | | **[wef_detect](https://github.com/atomiczsec/adrenaline/blob/main/discovery/wef_detect)** | Rileva la configurazione di Windows Event Forwarding (WEF), che indica la registrazione centralizzata. Se rilevata, indica che gli eventi di sicurezza vengono inoltrati a un server centrale. | | **[wevt_channel_enum](https://github.com/atomiczsec/adrenaline/blob/main/discovery/wevt_channel_enum)** | Enumera i canali del registro eventi di Windows locale con un filtro opzionale per sottostringa senza distinzione tra maiuscole e minuscole, output limitato e metadati opzionali di accesso e pubblicazione dettagliati. | | **[window_list](https://github.com/atomiczsec/adrenaline/blob/main/discovery/window_list)** | Enumera i titoli di tutte le finestre visibili sul desktop dell'utente corrente, includendo opzionalmente gli ID di processo (PID). | | **[wsc_status](https://github.com/atomiczsec/adrenaline/blob/main/discovery/wsc_status)** | Interroga lo stato di salute di Windows Security Center, inclusi Antivirus, Firewall, Anti-Spyware, servizio WSC, aggiornamenti automatici, impostazioni Internet e Controllo account utente. | | **[win_version](https://github.com/atomiczsec/adrenaline/blob/main/discovery/win_version)** | Questo BOF interroga il registro e le API di sistema per fornire una panoramica concisa ma dettagliata dell'installazione di Windows. | ## Execution | **BOF** | **Uso** | |--------------------------|----------------------------------------------------------------------------------------------------------------------------------------------------------------| | **[com_probe](https://github.com/atomiczsec/adrenaline/blob/main/execution/com_probe)** | Verifica se un oggetto COM può essere istanziato da un dato CLSID. | | **[event_log_manage](https://github.com/atomiczsec/adrenaline/blob/main/execution/event_log_manage)** | Ispeziona i canali del registro eventi, gestisce i log classici e le origini di proprietà del BOF, scrive eventi di testo o binari tramite origini registrate e cancella i canali con backup opzionale. | | **[firewall_rule](https://github.com/atomiczsec/adrenaline/blob/main/execution/firewall_rule)** | Aggiunge, rimuove o interroga le regole del firewall di Windows tramite l'API COM (`INetFwPolicy2`) senza avviare `netsh.exe` o `cmd.exe`. Utile per il pivoting all'interno delle reti. | | **[port_scan](https://github.com/atomiczsec/adrenaline/blob/main/execution/port_scan)** | Scansiona un singolo host IPv4 per porte TCP e/o UDP aperte tramite Winsock con elenchi di porte limitati, timeout configurabili e output conciso delle porte aperte. | | **[service_control](https://github.com/atomiczsec/adrenaline/blob/main/execution/service_control)** | Gestisce i servizi Windows locali tramite SCM: query (elenco limitato o singolo servizio), creazione, avvio, arresto, eliminazione e configurazione delle azioni di errore. Per le modifiche sono generalmente richiesti privilegi elevati. | | **[wevt_logon_enum](https://github.com/atomiczsec/adrenaline/blob/main/execution/wevt_logon_enum)** | Enumera gli eventi di accesso recenti del registro di sicurezza (riusciti/falliti) (ID evento 4624,4625,4672) tramite l'API wevtapi e stampa il nome della workstation remota/IP più il nome utente target. | --- <h3 align="center">Connettiti con me:</h3> <p align="center"> <a href="https://github.com/atomiczsec" target="_blank"><img src="https://raw.githubusercontent.com/rahuldkjain/github-profile-readme-generator/master/src/images/icons/Social/github.svg" height="30" width="40" /></a> <a href="https://instagram.com/atomiczsec" target="_blank"><img src="https://raw.githubusercontent.com/rahuldkjain/github-profile-readme-generator/master/src/images/icons/Social/instagram.svg" height="30" width="40" /></a> <a href="https://x.com/atomiczsec" target="_blank"><img src="https://raw.githubusercontent.com/rahuldkjain/github-profile-readme-generator/master/src/images/icons/Social/twitter.svg" height="30" width="40" /></a> <a href="https://medium.com/@atomiczsec" target="_blank"><img src="https://raw.githubusercontent.com/rahuldkjain/github-profile-readme-generator/master/src/images/icons/Social/medium.svg" height="30" width="40" /></a> <a href="https://youtube.com/@atomiczsec" target="_blank"><img src="https://raw.githubusercontent.com/rahuldkjain/github-profile-readme-generator/master/src/images/icons/Social/youtube.svg" height="30" width="40" /></a> </p> --- **DISCLAIMER:** I creatori e i contributori di questo repository non si assumono alcuna responsabilità per perdite, danni o conseguenze derivanti dall'uso delle informazioni o del codice contenuti in questo repo. Utilizzando questo repo, riconosci e accetti la piena responsabilità delle tue azioni. Usalo a tuo rischio.
