RedditC2

Abuso dell'API di Reddit per ospitare il traffico C2, dato che la maggior parte dei membri del blue-team usa Reddit, potrebbe essere un ottimo modo per far sembrare il traffico legittimo.

---

🚫 [Disclaimer]: L'uso di questo progetto è esclusivamente per scopi educativi/di test. Usarlo su macchine non autorizzate è severamente vietato. Se qualcuno viene trovato ad usarlo per fini illegali/maliziosi, l'autore del repository non sarà ritenuto responsabile.

---

Requisiti

Installa la libreria PRAW in python3:

pip3 install praw

Avvio rapido

Consulta la guida introduttiva per iniziare subito!

Demo

https://user-images.githubusercontent.com/37262788/206015879-589614d5-1a7a-4c21-a342-75bdfc677a61.mp4

Flusso di lavoro

Teamserver

1. Vai al post specifico su Reddit e pubblica un nuovo commento con il comando ("in: ")
2. Leggi i nuovi commenti che contengono la parola "out:"
3. Se non viene trovato alcun commento, torna al passo 2
4. Analizza il commento, decifralo e leggi il suo output
5. Modifica il commento esistente in "executed", per evitare di rieseguirlo

Client

1. Vai al post specifico su Reddit e leggi l'ultimo commento che contiene "in:"
2. Se non viene rilevato alcun nuovo commento, torna al passo 1
3. Estrai il comando dal commento, decifralo ed eseguilo localmente
4. Cifra l'output del comando e rispondi al commento corrispondente ("out: ")

Qui sotto è mostrata una dimostrazione del traffico C2 cifrato con XOR a scopo illustrativo:

Risultati della scansione

Poiché si tratta di un Implant C2 personalizzato, non viene rilevato da nessun AV in quanto il comportamento è completamente legittimo.

TO-DO

• Teamserver e agente compatibili su Windows/Linux
• Rendere il traffico cifrato
• Aggiungere funzionalità di upload/download
• Aggiungere funzionalità di persistenza
• Generare gli agenti dinamicamente (dal TeamServer)
• Completamento automatico con tab

Crediti

Un ringraziamento speciale a @T4TCH3R per aver collaborato con me e contribuito a questo progetto.