SHAD0W

SHAD0W は、成熟した環境で正常に動作するように設計されたモジュール式 C2 フレームワークです。

EDR や AV を回避するためのさまざまな手法を使用し、オペレーターは使い慣れたツールやトレードクラフトを引き続き使用できます。Python 3.8 と C で動作し、ペイロード生成には Donut を使用します。Donut と SHAD0W のプロセスインジェクション機能を組み合わせることで、オペレーターは .NET アセンブリ、DLL、EXE、JS、VBS、XSL を完全にメモリ内で実行できます。ユーザーランド API フッキングを回避するために動的に解決される syscall が多用され、EDR がビーコンにコードをロードするのを困難にするためのアンチ DLL インジェクション、およびスポーンプロセスを保護するための公式の Microsoft 緩和策が採用されています。

インストールと使用方法については wiki を参照してください。

SHAD0W C2 の主な機能:

• Docker 向けに構築 - Docker 内で完全に動作し、クロスプラットフォームでの使用が可能
• 非常にモジュール式 - 新しいモジュールを簡単に作成し、ビーコンと対話・タスクを実行可能
• HTTPS C2 通信 - ビーコンと C2 間のすべてのトラフィックは暗号化され HTTPS で送信
• JSON ベースのプロトコル - 実装が容易なプロトコルを使用してカスタムビーコンを構築・利用可能
• ライブプロキシとミラー - C2 サーバーは任意の Web サイトをリアルタイムでミラーリングし、C2 以外のトラフィックをすべてそのサイトに中継することで、Web ブラウザで表示した際に疑われにくくする
• 最新の CLI - CLI は prompt-toolkit 上に構築

SHAD0W ビーコンの主な機能:

• EXE、PowerShell、シェルコードなど - さまざまな形式でビーコンを生成・使用可能
• プロセスインジェクション - オペレーターは dllinject、migrate、shinject などを実行可能