Nimbo-C2

• Nimbo-C2
• 概要
• 機能
• インストール
  • 簡単な方法
  • より簡単な方法
• 使用方法
• 制限、警告、注意点
• 貢献

概要

Nimbo-C2 は、（シンプルで軽量な）もう一つのC2フレームワークです。

Nimbo-C2 エージェントは、x64 Windows および Linux をサポートします。Windows では Nim で記述され、.NET（CLR をプロセスに動的にロード）も一部使用しています。Nim は強力ですが、Windows とのやり取りは Powershell を使用するとより簡単で堅牢であるため、この組み合わせが作られました。Linux エージェントはよりスリムで、基本的なコマンドのみを実行でき、memfd テクニックを使用した ELF ロードも含まれます。

すべてのサーバーコンポーネントは Python で書かれています:

• エージェントを管理する HTTP リスナー。
• エージェントペイロードを生成するビルダー。
• Nimbo-C2 は、それらすべてを統括する対話型 C2 コンポーネントです！

このプロジェクトは、クレジットに記載されている先人たちの素晴らしい研究なしには実現しませんでした。

機能

• EXE、DLL、ELF ペイロードのビルド。
• NimProtect を使用したインプラント構成と文字列の暗号化。
• UPX を使用したペイロードのパッキング、および PE セクション名 (UPX0、UPX1) を難読化して検出とアンパックを困難にする。
• 暗号化された HTTP 通信（AES CBC モード、鍵はエージェントにハードコードされ、config.jsonc で設定可能）。
• C2 コンソールでのオートコンプリート機能により便利な操作。
• ファイルとレジストリのコマンド。
• メモリ内での Powershell コマンド実行。
• ファイルのダウンロードとアップロードのコマンド。
• 組み込みのディスカバリコマンド。
• スクリーンショット取得、クリップボード盗撮、音声録音、キーロガー。
• 間接システムコールを使用した ETW および AMSI のパッチ適用。
• LSASS および SAM ハッシュのダンプ。
• 間接システムコールを使用したシェルコードインジェクション。
• インライン .NET アセンブリの実行。
• 永続化機能。
• UAC バイパス手法。
• トークン偽装と getsystem。
• インプラントプロセスをクリティカルとして設定（終了時に BSOD）。
• (Linux) memfd を使用した 2 つのモードでの ELF ロード。
• さらに多くの機能！

インストール

警告: Nimbo-C2 は提供された Docker コンテナ内でのみ実行することを意図しています

簡単な方法

注意: この方法でインストールすると、Docker イメージが言語やライブラリのバージョンを強制していないため、将来的に問題や互換性の問題が発生する可能性があります。次の方法にスキップすることを検討してください。

1. リポジトリをクローンして cd で移動

git clone https://github.com/itaymigdal/Nimbo-C2
cd Nimbo-C2

2. Docker イメージをビルド

docker build -t nimbo-dependencies .

3. 再度 cd でソースファイルに移動し、Docker イメージをインタラクティブに実行し、ポート80を公開し、Nimbo-C2 ディレクトリをコンテナにマウントします（これにより、プロジェクトファイルに簡単にアクセスでき、config.jsonc の編集、エージェントからのファイルのダウンロードやアップロードなどが可能になります）。Linux の場合は ${pwd} を $(pwd) に置き換えてください。

cd Nimbo-C2
docker run -it --rm -p 80:80 -v ${pwd}:/Nimbo-C2 -w /Nimbo-C2 nimbo-dependencies

より簡単な方法

ここでは、既にビルド、テスト、保存された Docker イメージを使用しています - 推奨。

git clone https://github.com/itaymigdal/Nimbo-C2
cd Nimbo-C2/Nimbo-C2
docker run -it --rm -p 80:80 -v ${pwd}:/Nimbo-C2 -w /Nimbo-C2 itaymigdal/nimbo-dependencies

Linux の場合は ${pwd} を $(pwd) に置き換えてください。

使用方法

まず、ニーズに合わせて config.jsonc を編集してください。

次に、python3 Nimbo-C2.py で実行します。

各画面では help コマンドとタブ補完を使用してください。

制限、警告、注意点

• HTTP 通信は暗号化されていますが、'user-agent' ヘッダーは平文で、実際のエージェント ID が含まれているため、一部の製品では不審とフラグが立てられる可能性があります。
• スペースを含むパスや引数は二重引用符で囲んでください。
• CLR はプライマリアクセストークンで動作するため、impersonate/getsys は iex/assembly に影響しません。
• audio、lsass（Evil Lsass Twin メソッドを除く）コマンドは、アーティファクトを一時的にディスクに保存してから外部送信し、削除します。
• Nimbo サーバーをトンネリングする場合（例：Pinggy 経由で公開する場合）、HTTP ではなく TCP を使用してください。

貢献

このソフトウェアは、十分かつ継続的にテストされていないため、一部の使用例ではバグや不安定さが生じる可能性があります。 お気軽に issue やプルリクエストを開き、理由を問わず (Gmail | Linkedin) までご連絡ください。