SHAD0W

SHAD0W è un framework C2 modulare progettato per operare con successo in ambienti maturi.

Utilizza una serie di metodi per eludere EDR e AV, consentendo all'operatore di continuare a usare strumenti e tecniche che conosce. È basato su Python 3.8 e C, e usa Donut per la generazione dei payload. Sfruttando Donut insieme alle capacità di iniezione di processi di SHAD0W, offre all'operatore la possibilità di eseguire assembly .NET, DLL, EXE, JS, VBS o XSL interamente in memoria. Vengono ampiamente utilizzate syscall risolte dinamicamente per evitare hooking API in userland, anti iniezione DLL per rendere più difficile l'inserimento di codice nei beacon da parte di EDR e metodi ufficiali di mitigazione Microsoft per proteggere i processi spawnati.

Consulta il wiki per istruzioni di installazione e utilizzo.

Caratteristiche principali di SHAD0W C2:

• Costruito per Docker - Funziona completamente all'interno di Docker consentendo l'uso multipiattaforma
• Estremamente modulare - Facile creare nuovi moduli per interagire e assegnare compiti ai beacon
• Comunicazione C2 via HTTPS - Tutto il traffico tra beacon e C2 è crittografato e trasmesso su HTTPS
• Protocollo basato su JSON - È possibile costruire e utilizzare beacon personalizzati con un protocollo facile da implementare
• Proxy e mirror live - Il server C2 può fare mirror di qualsiasi sito web in tempo reale, reindirizzando tutto il traffico non C2 a quel sito, rendendolo meno sospetto se visualizzato in un browser web
• CLI moderna - La CLI è basata su prompt-toolkit

Caratteristiche principali dei beacon SHAD0W:

• EXE, PowerShell, shellcode e altro - I beacon possono essere generati e utilizzati in molti formati diversi
• Iniezione di processi - Consente all'operatore di eseguire dllinject, migrate, shinject e altro
• Bypassare l'AV - I payload vengono aggiornati frequentemente per eludere i prodotti antivirus comuni
• Altamente configurabile - Jitter personalizzati, user agent e altro
• Comunicazione C2 via HTTPS - Il traffico da e verso il C2 è crittografato tramite HTTPS
• Consapevole del proxy - Tutti i callback possono utilizzare il proxy di sistema corrente

Moduli attuali:

• Elevate - Exploit di elevazione dei privilegi integrati
• Ghost in the Logs - Disabilita ETW e Sysmon, maggiori informazioni sono disponibili qui
• GhostPack - Binari compilati ogni notte tramite una pipeline Azure. Grazie a @Flangvik
• Mimikatz - Per tutte le tue esigenze di furto di credenziali
• SharpCollection - Una miriade di strumenti offensivi .NET, maggiori informazioni sono disponibili qui
• SharpSocks - Proxy SOCKS inverso su HTTPS
• StdAPI - Comandi comuni per interagire con il filesystem
• Unmanaged PowerShell - Contiene un bypass AMSI integrato
• Upload e Download - Facile esfiltrazione di dati

Discord ufficiale

Porchetta Industries