Ninjaとは？

Ninja C2は、Purple Teamが作成したオープンソースのC2サーバーで、SIEMやAVに検出されることなく、ステルスにコンピュータやActive Directoryの列挙を行うために設計されています。Ninjaはまだベータ版であり、安定版がリリースされる際には、さらに多くのステルス技術やアンチフォレンジックが含まれ、ブルーチームにとって高度な攻撃を検出できるようにすべての防御が正しく構成されていることを確認するための真の挑戦となるでしょう。

NinjaはPythonを使用してペイロードを配信し、エージェントを制御します。エージェントはC#およびPowerShellに基づいており、主要なAVをバイパスできます。NinjaはAES-256で暗号化されたセキュアチャネルを介してエージェントと通信し、キーはハードコードされず、キャンペーン開始時にランダムに生成されます。各エージェントがC2に接続するとキーを取得し、C2が再起動された場合、古いエージェントと新しいエージェントのすべてで新しいキーが使用されます。Ninjaはまた、すべてのコールバックURLをキャンペーンごとにランダム化して、静的検出をバイパスします。

1. Ninjaの主な機能はDA（Defense Analysis）と呼ばれ、必要な列挙を実行して以下の重要な情報を取得し、それらを分析してシステム防御とサンドボックス検出のスコアを提供します。
2. SIEMソリューションの検出：現時点ではSplunk、Log Beat Collector、Sysmonを検出します。
3. PowerShellコマンドとプロセスの2つの方法を使用してAVを検出します。
4. PowerShellログが有効かどうかを確認します。
5. ユーザーが管理者権限を持っているかどうかを確認します。
6. システム情報の提供：ホスト名、OS、ビルド番号、ローカル時間、タイムゾーン、最終起動時刻、BIOS。
7. インストール済みのセキュリティ更新プログラムの情報を提供します。
8. 複数の要因に基づくシステムのPwn硬度スコアを提供します。
9. 特権、BIOSメーカー、ドメイン参加の有無、Sysinternalsプロセスの存在に基づくサンドボックス検出スコアを提供します。
10. すべてのドメインユーザーを表示（PowerShellコマンドを使用）。
11. すべてのドメイングループを表示（PowerShellコマンドを使用）。
12. すべてのドメインコンピュータを表示（powerview.ps1を使用 - 出典: https://github.com/PowerShellEmpire/PowerTools/blob/master/PowerView/powerview.ps1）。
13. 利用可能な共有を表示。

Ninjaはセットアップが簡単で、コマンドの追加や単調なタスクの自動化を容易に行えるように設計されています。レッドチームのメンバーが覚えるのに苦労し、検索する必要がある多くの短いコマンドを見つけることができます。詳細については、以下の記事をご覧ください: https://shells.systems/introducing-ninja-c2-the-c2-built-for-stealth-red-team-operations/

Ninjaの主な機能

Ninjaには、実際にフルアーセナルやツール、テクニックを展開する前に、今後のエンゲージメントに関する洞察を得るための多くの機能が搭載されています。例:

• 防御分析
• Kerberoast攻撃の自動化：Kerberosチケットの生成からSPNハッシュの抽出、Hashcat形式への変換まで。
• DC_Syncの自動化：ユーザーリストまたはドメイン管理者グループのハッシュを取得。
• ユーザーが所属するグループとグループ内のユーザーを取得するための検出されない自動化。
• Bloodhound ADデータ収集の自動化。
• 文字列を暗号化して静的検出をバイパスするカスタマイズされたC#ペイロード。
• 任意のコマンドをUnicode Base64にエンコードしてPowerShellエンコードコマンドで使用可能。
• エージェントとコマンド&コントロール間のすべての通信を完全暗号化し、AVやIPSの検出をバイパス。
• すべての機能に動的URLを使用：URL名のリストを配置するだけで、C2がランダムに使用し、静的検出をバイパス。
• ランダム暗号キーをオンザフライで取得（ハードコードなし）。エージェントが接続するたびに（再接続でも新しいキーが必要）。
• スクリーンショットを撮影し、暗号化してC2に送信。
• C2から被害者にファイルをアップロード（暗号化してAV/IPSバイパス）。
• 被害者からファイルをダウンロード（暗号化してAV/IPSバイパス）。
• 検出をバイパスするためのステージングペイロード（base64およびbase52）。
• AVバイパス（KasperskyおよびTrend Microでテスト済み）。
• SIEM検出のバイパス（通常のイベントログとSysmonログを収集するSplunkでテスト済み。PowerShell v5スクリプトブロックおよびモジュールログは未テスト。次回リリースで対応予定）。
• ビーコン間隔を動的に設定可能（エージェント接続後でも可能）。キャンペーン開始設定で開始ビーコン間隔を指定。
• すべてのコマンドと結果をログ記録し、操作中に見逃したデータを確認可能。
• キャンペーン開始時に一度だけ設定を行い、後は自動。
• グローバルキルスイッチでキャンペーンを終了。
• テーブルエントリを削除。
• すべてのペイロードはペイロードフォルダに書き込まれ、簡単にアクセスしてカスタマイズ可能。
• 任意のコマンドの自動化を簡単に追加可能。

要件

C#のコンパイルには、SHA1ハッシュがc669667bb4d7870bc8bb65365d30071eb7fb86feのSystem.Management.Automation.dllアセンブリが必要です。

一部のNinjaコマンドには、以下のモジュール（すでにモジュールフォルダに存在）が必要です。リポジトリから更新を取得してください：

Invoke-Kerberoast : https://raw.githubusercontent.com/xan7r/kerberoast/master/autokerberoast.ps1

Invoke-Mimikatz : https://github.com/PowerShellMafia/PowerSploit/blob/master/Exfiltration/Invoke-Mimikatz.ps1

Sharphound : https://github.com/BloodHoundAD/BloodHound/blob/master/Ingestors/SharpHound.ps1

PowerView : https://github.com/PowerShellEmpire/PowerTools/blob/master/PowerView/powerview.ps1

インストール

まず、以下のコマンドを使用してNinjaの最新バージョンをダウンロードしてください:

git clone https://github.com/ahmedkhlief/Ninja/

次に、install.shスクリプトを実行してNinjaをセットアップします:

chmod +x ./install.sh sudo ./install.sh

その後、キャンペーンを初期化します:

python3 start_campaign.py

これでNinjaサーバーを起動できます:

python3 Ninja.py

起動時に以下のように表示されます:

使用方法

Ninjaとその使い方については、以下の記事を参照してください: https://shells.systems/introducing-ninja-c2-the-c2-built-for-stealth-red-team-operations/.

Todo

• DAモジュールを強化し、より多くのSIEM、AV、サンドボックス検出、および重要な列挙データを追加。
• ステルス性を重視し、エージェントの部品を必要なときだけロード。
• 人気モジュールのショートカットコマンドをさらに追加。
• C#ペイロードとマクロを使用したフィッシングのカスタマイズとアイデアを追加。
• Curveballエクスプロイトとの統合。
• 新しいExchange RCEとの統合。
• 検出されない永続化。
• ブルーチームに検出・分析されずにハードディスク上のファイルを安全に削除するwipeコマンドを作成。
• エージェントブロックをランダムに変更して静的検出をバイパス。
• エージェントの難読化を追加。
• Cobalt Strikeペイロードと統合。

スクリーンショット

メイン画面

ペイロード

エージェント一覧

DA

DA

DA

DA

ファイルアップロード

ファイルダウンロード

ライセンス

このプロジェクトはGPL-3.0ライセンスの下でライセンスされています。詳細はLICENSEファイルを参照してください。