rasta-mouse/ost-c2-specSpecifica C&C open source
Bozza: Richiesta di Discussione
Questo documento fornisce una panoramica della Versione 1 della specifica OST C&C. È inteso a fornire una descrizione dettagliata dei messaggi e dei campi all'interno di tali messaggi.
La motivazione alla base di questa specifica è fornire un protocollo di messaggistica C&C (inclusi tasking, output strutturato e routing peer-to-peer) che possa essere implementato testualmente, o semplicemente fungere da ispirazione per gli sviluppatori di progetti. Questo documento non intende descrivere cosa sia un C&C. Si presume che il lettore comprenda cosa sia e a cosa serva.
Le parole chiave "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT", "SHOULD", "SHOULD NOT", "RECOMMENDED", "MAY" e "OPTIONAL" devono essere interpretate come descritto in [RFC2119].
Questa specifica assume quanto segue:
Di seguito è riportato un elenco di termini utilizzati in tutto questo documento.
Implant Metadata: Informazioni che un implant riporta su se stesso a un team server.
Task Request: Un compito assegnato a un implant da eseguire.
Task Response: Lo stato e l'output (se presente) di un determinato task.
Session Key: Una chiave di crittografia univoca utilizzata da un implant per crittografare i propri messaggi.
Ogni messaggio di richiesta e risposta di task MUST avere il seguente header di 16 byte.```text | Byte | 0 | 1 | 2 | 3 | 4 | 5 | 6 | 7 | | -------------------------------------------------------------| | 0 | Type | Code | Flags | Label | | -------------------------------------------------------------| | 1 | Identifier | Length | | -------------------------------------------------------------|
- **Type**: intero a 1 byte. Il 'tipo' di task di cui si tratta. Vedi [[Tipi di Task e Codici](https://github.com/rasta-mouse/ost-c2-spec?tab=readme-ov-file#task-types-and-codes)].
- **Code**: intero a 1 byte. Un 'sottocodice' per il Tipo specificato. Vedi [[Tipi di Task e Codici](https://github.com/rasta-mouse/ost-c2-spec?tab=readme-ov-file#task-types-and-codes)].
- **Flags**: intero a 2 byte. Un insieme di flag bitwise per descrivere lo stato del messaggio. Vedi [[Flag dei Task](https://github.com/rasta-mouse/ost-c2-spec?tab=readme-ov-file#task-flags)].
- **Label**: intero a 4 byte. Un'etichetta univoca per correlare più messaggi relativi allo stesso task.
- **Identifier**: intero a 4 byte. Un identificatore sequenziale utilizzato per costruire messaggi frammentati nell'ordine corretto.
- **Length**: intero a 4 byte. La lunghezza totale dei dati del task.
## Tipi di Task e Codici```text
|------------------|--------------------------|
| Type | Code |
|------------------|--------------------------|
| 0 - NOP | 0 |
|------------------|--------------------------|
| 1 - Exit | 0 |
|------------------|--------------------------|
| 2 - Set | 0 - Sleep/Jitter |
| | 1 - SpawnTo |
| | 2 - BlockDLLs |
| | 3 - PPID |
|------------------|--------------------------|
| 3 - File | 0 - Copy |
| | 1 - Move |
| | 2 - Delete |
| | 3 - Upload |
| | 4 - Download |
|------------------|--------------------------|
| 4 - Directory | 0 - Print |
| | 1 - Change |
| | 2 - Create |
| | 3 - Copy |
| | 4 - Move |
| | 5 - List |
| | 6 - Delete |
|------------------|--------------------------|
| 5 - WhoAmI | 0 |
|------------------|--------------------------|
| 6 - Process | 0 - List |
| | 1 - Kill |
| | 2 - Inject Spawn |
| | 3 - Inject Explicit |
|------------------|--------------------------|
| 7 - Registry | 0 - Query |
| | 1 - Add |
| | 2 - Delete |
|------------------|--------------------------|
| 8 - RPortFwd | 0 - Start |
| | 1 - Data |
|------------------|--------------------------|
| 9 - Environment | 0 - Get |
| | 1 - Set |
|------------------|--------------------------|
| 10 - SOCKS | 0 - Connect |
| | 1 - Data |
| | 2 - Close |
|------------------|--------------------------|
| 11 - Tokens | 0 - List |
| | 1 - Make |
| | 2 - Steal |
| | 3 - Use |
| | 4 - Revert |
| | 5 - Delete |
| | 6 - Purge |
|------------------|--------------------------|
| 12 - Run | 0 |
|------------------|--------------------------|
| 13 - ItemStore | 0 - List |
| | 1 - Add |
| | 2 - Delete |
| | 3 - Purge |
|------------------|--------------------------|
| 14 - LocalExec | 0 - .NET |
| | 1 - BOF |
| | 2 - Managed PowerShell |
| | 3 - Unmanaged PowerShell |
|------------------|--------------------------|
| 15 - PrintScreen | 0 |
|------------------|--------------------------|
| 16 - RemoteExec | 0 - WinRM |
| | 1 - WMI |
| | 2 - PsExec |
| | 3 - SSH |
|------------------|--------------------------|
| 17 - Link | 1 - Link SMB |
| | 2 - Link TCP |
|------------------|--------------------------|
| 18 - Unlink | 0 |
|------------------|--------------------------|
| 19 - P2P | 0 - Acknowledge |
| | 1 - PassThru |
|------------------|--------------------------|
| 20 - Jobs | 0 - List |
| | 1 - Kill |
|---------------------------------------------|
Alcuni flag si escludono a vicenda e NON DEVONO essere impostati insieme. Se non viene impostato alcun flag, si DOVREBBE presumere che l'attività sia stata completata con successo e che l'output associato (se presente) NON sia frammentato.```text
| Value | Description |
|---|---|
| 0 | No flags |
| 1 | Task Error |
| 2 | Task Running (as job) |
| 4 | Message is fragmented, more to follow |
| 8 | Message is fragmented, no more to follow |
## Dati del task