Hermes

Hermes는 Python으로 작성된 경량 Linux 에이전트로, Mythic 3.0 이상을 위해 설계되었습니다. 신들의 전령인 헤르메스의 이름을 따서 명명되었으며, 속도와 신중함을 위해 제작되었습니다.

기능

• Linux 지원
• 피벗 및 측면 이동을 위한 SOCKS5 프록시 지원
• 다중 C2 프로필: HTTP, Notion
• RSA-4096 + AES-256-CBC + HMAC-SHA256을 사용한 암호화된 키 교환 (EKE)
• AESPSK 지원 (사전 공유 키, 키 교환 필요 없음)
• 24개의 내장 명령어 포함:
  • 정찰 (whoami, ps, netstat, ifconfig, systeminfo, env)
  • 파일 작업 (ls, cat, cp, mv, rm, mkdir, chmod, chown, find, grep)
  • 파일 전송 (upload, download)
  • 실행 (shell)
  • 에이전트 제어 (sleep, exit, cd)

설치

1.) Mythic을 여기에서 설치합니다.

2.) Mythic 설치 디렉토리에서 다음 명령어를 실행합니다:

./mythic-cli install github https://github.com/0xbbuddha/hermes

지원되는 C2 프로필

HTTP

Hermes는 Mythic에서 사용하는 기본 HTTP 프로필을 통해 통신합니다. 모든 작업 및 응답은 POST 요청으로 수행됩니다.

참고: GET URI 매개변수는 사용되지 않으며 POST만 지원됩니다.

Notion

Hermes는 Notion 데이터베이스를 은밀한 C2 채널로 사용할 수 있습니다. 에이전트는 공유 Notion 데이터베이스에서 페이지를 생성하고 읽음으로써 Mythic과 통신하며, 이로 인해 트래픽이 합법적인 Notion API 호출과 혼합됩니다.

필요 사항:

• Notion 통합 토큰 (integration_token)
• 공유 Notion 데이터베이스 ID (database_id)

작전 보안 고려 사항

Python 의존성

Hermes는 Python 에이전트이며 대상 시스템에 Python 3.8+가 설치되어 있어야 합니다. 이는 컴파일된 바이너리와 비교하여 탐지 표면을 증가시킬 수 있습니다.

빌드 형식

수면 간격

기본 수면 간격은 은밀성과 성능 모두에 직접적인 영향을 미칩니다. 높은 수면 간격은 네트워크 노이즈를 줄이지만 SOCKS5 프록시 처리량을 저하시킵니다. 운영 요구 사항에 따라 조정하십시오.

크레딧

• @0xbbuddha — 작성자

알려진 문제

Linux만 지원

Hermes는 Linux 대상 전용으로 제작되었습니다. Windows와 macOS는 지원되지 않습니다.

SOCKS5 지연 시간

SOCKS5 트래픽이 에이전트의 HTTP 폴링 루프를 통해 중계되므로 지연 시간은 수면 간격에 직접적으로 연결됩니다. 실시간 프로토콜(예: RDP, 대화형 셸)은 높은 수면 값에서 성능 저하를 경험할 수 있습니다.