TCP/TLS/mTLS経由のリバースシェルセッションを管理するモジュラー型ポストエクスプロイテーションフレームワーク。列挙、インメモリ実行、SOCKS5ピボット、永続化のためのプラグインを備える。
認可されたセキュリティ研究、レッドチーム運用、およびペネトレーションテストのための、軽量でモジュール式のポストエクスプロイテーションフレームワーク。TornadoRevC2 は、Linux および Windows ホスト上のインタラクティブなリバースシェルおよびバインドシェルセッションを、単一のオペレーターコンソールを通じて、プレーン TCP、サーバー認証 TLS、および相互認証 TLS トランスポートにわたって管理します。コアセッション処理は、ホスト列挙、状況認識、および運用タスクのためのクロスプラットフォームプラグインアーキテクチャによって拡張されています。
重要: TornadoRevC2 は、2 つの相補的なセッションモデルを同一プロセス内で実行します。シェルハンドラーは、信頼性の高いインタラクティブセッション、構造化されたオペレーターワークフロー、およびオンデマンドのプラグイン実行を優先します。ビーコンサブシステムは、ライブソケットではなくスケジューリング、自己破壊、およびネットワーク耐性を必要とする長期エンゲージメント向けの、プルベースのコンパイル済みエージェントを追加します。両者はオペレーターコンソール、TLS マテリアル、およびログ基盤を共有しますが、どちらも他方を必要としません。ビーコンサブシステムを参照してください。
本ソフトウェアは、あなたが所有するシステム、または明示的な書面による許可を得たシステム上でのみ使用してください。適用法および組織のポリシーへの準拠については、あなたが単独で責任を負います。作者および貢献者は、本プロジェクトの使用から生じる誤用、データ損失、または法的結果について一切の責任を負いません。
クイックデモ: セッション管理、プラグイン実行、SOCKS5 ピボット。
TornadoRevC2 は、単一プロセス内で 2 つのセッションモデルをサポートするモジュール式のポストエクスプロイテーションフレームワークであり、1 つのオペレーターコンソールと 1 セットのインフラストラクチャコンポーネント（TLS 証明書マテリアル、可変プロファイル、セッションログ）を共有します:
インタラクティブシェルセッション — リバースシェル（ターゲットがプレーン TCP、サーバー認証 TLS、またはクライアント証明書検証を伴う相互 TLS を介してハンドラーにダイヤルする）およびバインドシェル（ハンドラーがプレーン TCP または TLS を介してターゲットにダイヤルする）。いずれも実行時に HTTPS セカンダリトランスポート（TLS 上の HTTP/2 または HTTP/1.1）またはターゲット上でホストされる SMB 名前付きパイプに移動でき、backtoshell で元に戻せます。すべてのフローは同一のセッションオブジェクトを生成し、同じプローブ、プラグイン、転送、およびレポートパイプラインを通過します。
コンパイル済みビーコンセッション — オペレーターマシンからクロスコンパイルされた Go エージェントで、ディスク上にランタイム設定を持ちません。エージェントはスケジュールに従ってチェックインし、キューに入れられたタスクを取得し、インプロセスのネイティブハンドラーまたはシェルを介して実行し、スリープに戻ります。タスクと結果はエンドツーエンドで ECDSA 署名され、トランスポートはオプションの相互 TLS を伴う HTTPS であり、すべての動作特性はビルド時に組み込まれます。
本フレームワークは、セッション管理、ホスト偵察、チャンク化ファイル転送、インメモリペイロード実行、SOCKS5 ピボット、プラグイン駆動のポストエクスプロイテーション、構造化レポート、および自動 Git ベースの更新とシームレスなハンドラー再起動のための組み込み update コマンドのための、統合されたオペレーターコンソールを提供します。ファイアウォール列挙、資格情報ストアメタデータ収集、ネットワークマッピング、ブラウザプロファイリング、Windows ドメイントラスト分析、および追加のポストエクスプロイテーション機能などの機能は、65 個の独立したモジュール式プラグインとして実装されています。make_token プラグインは、オペレーター側からリモートプロトコル（SSH、WinRM、SMB、WMI、MSSQL、DCOM、および MySQL/MariaDB）を介して新しい C2 セッションを確立します。upgrade_mtls は、ハンドラーのクライアント証明書バンドルをターゲットにプッシュすることで、ライブセッションを相互 TLS リスナーに移行します。
サポートされるターゲットプラットフォーム: Linux および Windows（主要）、該当する場合は汎用 Unix および BSD 環境との互換性あり。
| カテゴリ | 機能 |
|---|---|
| セッション処理 | 自動 PKI ブートストラップを伴うマルチクライアント TCP / TLS / mTLS リスナー · ライブセッションのオンデマンド mTLS アップグレード · バインドシェルサポート — TCP または TLS でリッスンしているターゲットにダイヤル · インタラクティブ PTY/TTY シェル · セッションフィンガープリンティングと再接続追跡 |
| セカンダリトランスポート | HTTPS チャネル — http2switch <ID> がターゲット上に HTTP/2 または HTTP/1.1 エージェントを生成し、アクティブなトランスポートを切り替える。SMB 名前付きパイプ — smbswitch <ID> がターゲット上に C# パイプサーバーを展開し、ハンドラーを SMB クライアントとして接続する。backtoshell <ID> はライブのセカンダリトランスポートを閉じて元に戻す。transport <ID> はすべてのチャネルのライブ状態を表示する · デュアルスタック HTTPS リスナーは ALPN を介して h2 と http/1.1 をネゴシエートする · Linux HTTP/2 エージェントは完全にメモリ内で実行される（stdin 経由の python3 -） · Windows エージェントは Start-Job で実行され、Linux エージェントは独自の setsid セッショングループで実行される · --front-domain によるドメインフロンティング / リダイレクターサポート · バインドインターフェースは IP またはインターフェース名（tun0、eth0）にできる。省略時は自動検出される |
| 運用セキュリティ | Linux および Windows でのシェル履歴抑制 · コマンドパスに pty.spawn や Invoke-Expression を使用しない · セッションスコープのプローブマーカー · セッションごとにランダム化された識別文字列（シェル変数、起動マーカー、HMAC キー） · コマンド難読化 — bash/zsh/PowerShell にインストールされるセッションごとの XOR+base64 ラッパーにより、平文コマンドがシェル履歴、ps、Sysmon EventID 1、または auditd に到達しない · インプロセス実行 — Linux HTTP/2 エージェントは子プロセスを生成せずに cat、ls、env、ps、pwd、whoami、id、hostname、uname を処理する · HMAC 署名された HTTP/2 トークン（/c2/<token>?s=<hmac>） · TLS セッションチケット · HTTPS キープアライブ（PING）と null バイトフレームパディング · 設定可能な接続時ジッター（デフォルト 0.3～1.5 秒、TORNADO_CONNECT_DELAY で上書き） · エージェントごとのキル日 / 自己破壊（TORNADO_KILL_DAYS、デフォルト 30） · Linux HTTP/2 配信時にターゲットへログやステージングファイルを書き込まない · Windows HTTP/2 エージェント向けの ECDSA コマンド署名 · PTY アップグレード検証 |
| ファイル転送 | 再開可能なチャンク化アップロード · 再開可能なチャンク化ダウンロード · SHA-256 整合性検証 · アップロード（--https）およびプッシュ型ダウンロード（--https-push）のためのオプションの HTTPS トランスポート、ターゲットインターフェースバインディングとコールバックアドレスの上書き付き |
| ペイロード実行 | py、ps、exe、elf、bat、および sh のインメモリ実行 — memfd ベースの ELF 実行（モダンおよびレガシーフォールバック）とサブシステム対応の PE ローディング付き |
| ピボットとトンネリング | 侵害されたセッションを介した SOCKS5 プロキシ · Windows トンネルエージェントはメモリ内で実行される（C#、ディスクアーティファクトなし）。Unix は /tmp 下の Python エージェントを使用する · socks test は既に実行中のプロキシを必要とし、エージェントを暗黙的に展開しない · ソフトおよびハードトンネルリセット（socks reset [--hard]） · socks stop およびセッション切断時のリモートエージェントの自動クリーンアップ · バックグラウンド永続化を伴う Ligolo-NG および Chisel エージェントの展開 |
| リモートセッション確立 | make_token — オペレーター側から SSH、WinRM、SMB、WMI、MSSQL、DCOM、または MySQL/MariaDB を介して新しいセッションを確立し、パスワード / NTLM ハッシュ / SSH キー / WinRM クライアント証明書認証、MySQL UDF 自動ロード、カスタムコマンド実行、および netexec 統合をサポート |
| なりすまし | runas — 別のユーザーとしてコマンドを実行するか、TLS 暗号化シェルを生成する。ローカルまたはリモート、ドメインサポートと netexec 統合付き · steal_token — プロセスと所有者を一覧表示し、別のプロセスのトークンになりすますか、トークン所有者として実行される cmd / リバースシェルを生成する |
| トークン特権 | enablepriv — インメモリ C#（AdjustTokenPrivileges）を介して現在の Windows トークン上のすべての特権を有効化、無効化、一覧表示、または切り替える。--list / --list-all / --all モード付き |
| 列挙 | ホストトリアージ、検出環境プリフライト、ネットワーク態勢、資格情報とブラウザメタデータ、Kerberos チケット、Linux 内部（sudo 設定、書き込み可能なファイルシステムターゲット、制限付きシェル検出）、Windows ドメイントラスト、WMI 永続化、ロード済みモジュール、および Windows ドメインとシステム設定をカバー |
| 運用プラグイン | マルチパスの安全なファイルワイプ · ハイブリッドファイル暗号化 · シェル履歴クリア · Windows イベントログクリア · ウィンドウコンテキスト付きクロスプラットフォームキーストロークキャプチャ |
| 永続化 | TLS 暗号化ペイロードを使用したクロスプラットフォームバックドアインストール — Linux/Unix では cron @reboot、Windows では Run レジストリ |
| 拡張性 | ランタイムでのプラグインのロード、リロード、アンロード、および再スキャン（ライブ検出 — ハンドラー再起動不要） · TORNADOREVC2_PLUGIN_DIR を介した外部プラグイン · 文書化された SessionContext API |
| レポート | セッションごとのログ · 構造化されたプラグイン出力 · HTML トランスクリプトのエクスポート |
| 自己更新 | リポジトリ検証、ファストフォワードプル、および自動ハンドラー再起動を伴う Git ベースの update コマンド |
| ビーコンサブシステム | コンパイル済み Go エージェント、オペレーターマシンからクロスコンパイル · HTTPS / mTLS トランスポート · uTLS ブラウザ ClientHello フィンガープリンティング（chrome、firefox、safari） · 初回使用時信頼公開鍵ピンニングを伴う ECDSA P-256 タスクおよび結果署名 · HMAC 証明を伴う Cookie ベースのセッショントークン · fork や execve を使用しないネイティブインプロセス動詞（cat、ls、ps、id、env、pwd、whoami、hostname、uname） · SHA-256 検証を伴うチャンク化ファイル転送 · インメモリ PE（Windows）および ELF（Linux）実行 · シェルハンドラーの bofloader プラグインと共有される組み込み C# ローダーを介した Windows 上の BOF/COFF ローディング · stdin 経由でソースをパイプするインラインスクリプト実行（pyexec、psexec、shexec） · コンパイル時 OPSEC プロファイル（アンチサンドボックス、アンチデバッグ、アンチ VM、AMSI/ETW パッチ、文字列難読化、garble、UPX） · HTTP フィンガープリンティング用の名前付き C2 プロファイル · ランタイム設定可能なスリープと勤務時間 · 4xx/5xx での自動再接続 · キル日 / 自己破壊 · バックグラウンドセッションリーパー · ランダムバケットへのレスポンスパディング · インタラクティブな beacon-build ウィザード |
サポートされないもの: ターゲット上のスケジュールタスク管理、またはシェルハンドラーの @plugin.command レジストリとのビーコン側プラグイン互換性。
TornadoRevC2 は、展開の摩擦と運用フットプリントが重要となる環境向けに設計されています。シェルハンドラーとビーコンサブシステムはこの原則を共有しますが、それを異なる方法で実現します。シェルハンドラーは既に存在するシェルプリミティブに依存することでアーティファクトを回避し、ビーコンは外部設定を持たない自己完結型バイナリを出荷することでそれらを回避します。
プラグインは、ターゲットホストに既に存在するネイティブの Windows および Linux ユーティリティと組み込みシステムコマンド—netsh、ss、iptables、ufw、firewall-cmd、nft、PowerShell コマンドレット、nmcli、wevtutil など—を活用します。コレクターはリバースシェルチャネルを通じてこれらのツールを呼び出し、出力をリモートで解析するため、追加のバイナリをアップロードしたり依存関係をインストールしたりする必要性を最小限に抑えます。
