SHAD0W

SHAD0W は、成熟した環境で正常に動作するように設計されたモジュール式 C2 フレームワークです。

EDR や AV を回避するためのさまざまな手法を使用し、オペレーターは使い慣れたツールやトレードクラフトを引き続き使用できます。Python 3.8 と C で動作し、ペイロード生成には Donut を使用します。Donut と SHAD0W のプロセスインジェクション機能を組み合わせることで、オペレーターは .NET アセンブリ、DLL、EXE、JS、VBS、XSL を完全にメモリ内で実行できます。ユーザーランド API フッキングを回避するために動的に解決される syscall が多用され、EDR がビーコンにコードをロードするのを困難にするためのアンチ DLL インジェクション、およびスポーンプロセスを保護するための公式の Microsoft 緩和策が採用されています。

インストールと使用方法については wiki を参照してください。

SHAD0W C2 の主な機能:

• Docker 向けに構築 - Docker 内で完全に動作し、クロスプラットフォームでの使用が可能
• 非常にモジュール式 - 新しいモジュールを簡単に作成し、ビーコンと対話・タスクを実行可能
• HTTPS C2 通信 - ビーコンと C2 間のすべてのトラフィックは暗号化され HTTPS で送信
• JSON ベースのプロトコル - 実装が容易なプロトコルを使用してカスタムビーコンを構築・利用可能
• ライブプロキシとミラー - C2 サーバーは任意の Web サイトをリアルタイムでミラーリングし、C2 以外のトラフィックをすべてそのサイトに中継することで、Web ブラウザで表示した際に疑われにくくする
• 最新の CLI - CLI は prompt-toolkit 上に構築

SHAD0W ビーコンの主な機能:

• EXE、PowerShell、シェルコードなど - さまざまな形式でビーコンを生成・使用可能
• プロセスインジェクション - オペレーターは dllinject、migrate、shinject などを実行可能
• AV バイパス - 一般的なアンチウイルス製品を回避するためにペイロードは頻繁に更新
• 高いカスタマイズ性 - カスタムジッター、ユーザーエージェントなど
• HTTPS C2 通信 - C2 との間のトラフィックは HTTPS で暗号化
• プロキシ対応 - すべてのコールバックは現在のシステムプロキシを使用可能

現在のモジュール:

• Elevate - 組み込みの権限昇格エクスプロイト
• Ghost in the Logs - ETW と Sysmon の無効化。詳細はこちら
• GhostPack - Azure パイプラインで毎晩コンパイルされるバイナリ。@Flangvik に感謝
• Mimikatz - すべての資格情報窃取のニーズに対応
• SharpCollection - 多数の .NET 攻撃ツール。詳細はこちら
• SharpSocks - HTTPS 経由のリバース SOCKS プロキシ
• StdAPI - ファイルシステムと対話するための一般的なコマンド
• アンマネージド PowerShell - 組み込みの AMSI バイパスを含む
• アップロードとダウンロード - 簡単なデータ流出

公式 Discord

Porchetta Industries