mythic_telegram_profile

AthenaおよびApolloエージェントのトラフィックをTelegramのbot-to-botメッセージ経由でトンネリングし、暗号化されたペイロードをMythicのPush C2 gRPCサービス経由でMythicにブリッジするMythic C2プロファイル。

Mythicディレクトリから次のコマンドを実行します:

ローカル開発の場合は、代わりにチェックアウトをインストールします:

同じMythicデプロイメントに、サポート対象エージェントフォークのいずれかをインストールします:

Telegramのセットアップ

1. @BotFatherを使用してコントローラーbotを作成します。
2. 同時に実行される各ペイロードインスタンス用に個別のbotを作成します。
3. コントローラーbotとすべてのエージェントbotでBot-to-Bot Communication Modeを有効にします。
4. コントローラーbotのトークンとユーザー名を記録します。
5. 各エージェントbotのトークンを記録します。getUpdatesのコンシューマーは1つの更新キューを共有するため、同時実行されるペイロードでトークンを再利用しないでください。

プライベートなbot-to-botメッセージには、両方のbotで通信モードが必要です。Telegramはこの要件をBot-to-Bot Communicationガイドで文書化しています。

C2サービスの設定

MythicでC2 Profilesを開き、telegramのアクションを展開して、View/Edit Configを選択します。以下を設定します:

設定を保存し、プロファイルを開始します。

ペイロードのビルド

AthenaまたはApolloをビルドする際にtelegram C2プロファイルを選択し、以下を指定します:

運用上の制約

• Bot APIトークンはベアラ認証情報です。アクセスを制限し、使用後はBotFatherを通じて失効させてください。
• エージェントトークンはペイロードに埋め込まれています。回収されたペイロードは侵害されたトークンとして扱ってください。
• Telegramトランスポートはエンドツーエンド暗号化ではありません。AESPSKを有効に保ってください。
• Telegramはメッセージメタデータを保持し、そのサービスポリシーに基づきメッセージ内容を保持する場合があります。
• このプロファイルはwebhookではなくロングポーリングを使用します。
• 単一のbotトークンを同時実行のエージェントインスタンス間で共有しないでください。それぞれのgetUpdates呼び出しが互いの応答を消費してしまいます。
• コントローラーは、botが作成したバージョン付きトランスポートエンベロープのみを受け入れます。Mythicの暗号化は依然としてメッセージの認証と機密性を提供します。
• エージェントのリクエストは、対応するコントローラー応答が到着するまで保留されたままです。再試行されたリクエストは同じリクエスト識別子を再利用し、コントローラーはキャッシュされた応答を再生し、重複したトラフィックをMythicに転送しません。
• Mythicは、保留中のエージェントリクエストがない場合でもタスキングをプッシュできます。コントローラーはそのタスキングをキューに入れ、破棄する代わりにエージェントの次の交換と関連付けます。
• コントローラーは、最大ジッターのコールバック間隔を3回逃した後、さらに30秒経過するとルートを切断済みとして報告します。最小タイムアウトは60秒です。

ワイヤーフォーマット

各Telegramテキストメッセージには、以下のフィールドを持つJSONオブジェクトが含まれます:

• v: プロトコルバージョン。現在は1
• sender_id: エージェントプロセスによって生成されたランダムなルート識別子
• client_id: 応答ルート識別子
• to_server: 方向フラグ
• packet_id: チャンクセット識別子
• reply_to: コントローラー応答によって確認応答されたリクエスト識別子
• sleep: 現在のエージェントコールバック間隔（秒）
• jitter: 現在のエージェントコールバックジッター率
• chunk: ゼロベースのチャンクインデックス
• chunks: 合計チャンク数。256に制限されます
• message: 暗号化されたMythicメッセージフラグメント

不完全なチャンクセットは10分後に期限切れになります。