jm33-m0/emp3r0rAutoriparante Maglia Gossip C2 con Scoperta Assistita dei Peer, Esecuzione BOF Multipiattaforma e Agenti Scriptabili.
Un C2 self-healing, memory-only per Linux e Windows — agent che sopravvivono a link interrotti, non toccano mai il disco e si fanno strada tramite script attraverso l'API Win32.
emp3r0r è un framework di post-exploitation e C2 progettato per ambienti Linux e Windows dove stealth e resilienza non sono opzionali. Invece di assumere una connessione affidabile verso un singolo server, gli agent formano una mesh self-healing che continua a funzionare quando i link si interrompono. Invece di chiedere a target Python o PowerShell, eseguono tutto in memoria. E invece di limitarti ai trucchi di una sola piattaforma, emp3r0r esegue BOF Windows, oggetti Linux e script Starlark — tutto fileless, tutto in-process.
Ogni agent porta con sé il proprio motore di scripting, così puoi inserire nuova logica di post-exploitation senza compilare o distribuire binari.
Perché è importante: scrivere ed estendere le funzionalità dell'agent diventa semplice come modificare uno script, senza l'ingombro di rilasciare un interprete o un nuovo binario sul target.
Gli agent legano la propria identità a una chiave crittografica la prima volta che comunicano con te — e quel legame non cambia mai.
Perché è importante: session hijacking e clonazione degli agent semplicemente non accadono; ogni agent con cui parli è quello che hai registrato.
Ogni link C2 e peer utilizza chiavi ECDH effimere con chiavi di cifratura derivate dalla sessione.
Perché è importante: anche se una chiave a lungo termine viene compromessa in seguito, non può essere usata per decifrare il traffico già passato.
Gli agent si scoprono a vicenda e inoltrano il traffico attraverso una mesh gossip, così l'operazione non collassa quando un link o un server scompare.
Perché è importante: la rete fa il pivoting per te. Taglia un link, perdi una macchina o blocca il C2 — gli agent si riorganizzano da soli.
I file si spostano direttamente tra gli agent, non solo attraverso il C2.
Perché è importante: la consegna è veloce e per lo più invisibile al canale C2 — ideale per ambienti con restrizioni di egress.
Ottenere un agent dentro è trattato con la stessa serietà del mantenerlo vivo.
Perché è importante: un accesso iniziale piccolo, adattabile e memory-hygienic significa che puoi atterrare su host che altrimenti sarebbero fuori portata.
Esegui moduli C compilati in-process su entrambe le piattaforme:
Perché è importante: i BOF valgono quanto il loro loader — emp3r0r li esegue in-process senza nuovi processi e senza tracce lasciate, sia su Linux che su Windows.
Una volta su un host Windows, emp3r0r ti permette di diventare gli utenti presenti — senza mai rilasciare uno strumento.
--user di un modulo: mantengono l'identità del tuo agent e prendono in prestito quella dell'utente target solo per l'accesso in uscita — qualsiasi password funziona, nulla viene mai validato.--ticket per il pass-the-ticket completo: la tua identità di rete diventa quella del ticket (ad esempio, il Domain Admin) mentre la tua identità locale non cambia mai.--token, --user e --ticket, quindi cambiare identità è a un flag di distanza — inclusa la creazione di una sessione e il caricamento di un ticket in un singolo comando.Perché è importante: il movimento laterale verso macchine che non eseguono alcun agent — condivisioni SMB, controllo dei servizi, CIFS — diventa una parte normale del tuo flusso di lavoro, autenticato come l'utente che hai preso in prestito, non come uno strumento su disco.
Fai pivoting senza bruciare un altro implant: il C2 esegue un proxy SOCKS5 che inoltra attraverso l'agent che selezioni, e il lato operatore può spingersi oltre con un dispositivo TUN trasparente.