Venom C2

Venom C2는 종속성 없는 Python3 기반의 Command & Control 프레임워크로, 패키지 설치 없이 실행되도록 설계된 레드팀 지속성 도구입니다. Flask 팀 서버, Electron 운영자 GUI, 그리고 구성 가능한 AES 암호화 JSON 메시지를 통해 HTTP/HTTPS로 통신하는 단일 파일 파이썬 에이전트로 구성됩니다. 명령 실행, 파일 관리, 접근 유지, 손상된 시스템에서 SSH 역방향 터널 생성 등에 사용할 수 있습니다.

배경

네트워크 권한 상승 과정에서 다양한 이국적인 배포판과 아키텍처를 실행하는 수많은 프로덕션 시스템에 접근하게 되었습니다. 지속성을 설정하려 했지만 기존 도구와 기술이 작동하지 않았습니다. 또한 일부 대상 시스템에는 EDR이 실행 중이었습니다.

이 시스템들은 프로덕션 환경이었기 때문에 패키지를 설치하고 싶지 않았습니다. 종속성 없이 실행되는 C2 에이전트가 필요했습니다. 시스템에는 Python3가 설치되어 있었기에, 작전 중간에 Venom C2를 만들었습니다. 딱 맞는 종속성 없는 Python3 C2 에이전트입니다.

기성 C2 에이전트를 사용하면 블루팀 탐지로 이어질 위험이 있어 원하지 않았습니다. 독창적인 코드야말로 현대 EDR을 우회하는 핵심입니다.

많은 시스템이 있었기 때문에, 에이전트별로 고유한 난독화, 이름 지정, 파일 시스템 배치, 다양한 네트워크 콜백 도메인, 고유한 네트워크 경로 요청을 자동화했습니다.

아들이 스파이더맨의 악당 Venom을 좋아해서 'Venom'이라고 이름 지었습니다. 게다가 파이썬은 뱀이고 멋진 뱀은 독을 가지고 있으니 잘 어울리는 이름이라고 생각했습니다.

Venom C2의 미래

없습니다.

이것은 작전 중에 만든 일회성 C2 프로젝트였습니다. 약 2일 간의 개발로 대상 환경에서 안정적이고 신뢰할 수 있게 만들었습니다. 그 역할을 해냈고, 남은 작전 6주 동안 네트워크 지속성을 제공했습니다. 이 프로젝트를 계속 개발하거나 사용할 계획은 없기에, 공개해도 괜찮은 후보라고 생각했습니다.

그렇지 않으면 그냥 _devNULL_에 사라질 뻔했습니다...

devnull

Venom C2 구성 요소 및 기능

서버

Python3 Flask
다중 운영자를 지원하는 팀 서버
명령 기록 저장
에이전트 구성 스크립트
에이전트 난독화 스크립트
에이전트 연결 관리
GUI 클라이언트와 통신하는 API
대규모 배열에서 무작위 선택을 통한 사용자 정의 프로필:
- C2 메시지 파라미터 이름
- 무작위 헤더
- 확장 가능한 값 유형의 무작위 JSON 속성

클라이언트 GUI

Electron
Linux, macOS, Windows에서 작동
GUI는 Loki GUI를 간소화한 버전

에이전트

종속성 없는 Python3
구성 가능한 AES 키를 사용하여 메시지 암호화
모든 메시지는 JSON POST 요청으로 전송
대규모 배열에서 무작위 선택을 통한 사용자 정의 프로필:
- URI 기본 경로 (역방향 프록시 라우팅 설정에 유용)
- 각 에이전트 기능에 대한 여러 URI 경로
- C2 메시지 파라미터 이름
- 사용자 에이전트
- 무작위 헤더
- 확장 가능한 값 유형의 무작위 JSON 속성

에이전트 명령

[11-04-2025 11:31 AM MST] admin help

help     : 도움말 표시
ls       : 디렉토리 내용 목록 출력
pwd      : 현재 작업 디렉토리 표시
cd       : 디렉토리 변경
cat      : 파일 내용 표시
mv       : 파일/디렉토리 이동 또는 이름 변경
cp       : 파일/디렉토리 복사
mkdir    : 디렉토리 생성
rmdir    : 빈 디렉토리 제거
write    : 파일에 내용 쓰기
chmod    : 파일 권한 변경
rm       : 파일 삭제
shell    : 원시 셸 명령 실행
sleep    : 에이전트에 지연(선택적 지터 포함) 적용
sshrev   : 역방향 SSH 터널 생성
kill     : 에이전트 프로세스 종료
upload   : 로컬 운영자 머신에서 원격 에이전트 머신으로 파일 업로드
download : 원격 에이전트 머신에서 로컬 운영자 머신으로 파일 다운로드

빠른 시작

1. 서버에 코드 가져오기

git clone https://github.com/boku7/venom 
cd venom

2. 서버 요구사항 설치 (Python 3)

pip3 install -r server/requirements.txt

3. 서버 실행

cd server
python3 server.py --help
python3 server.py

첫 실행 시 관리자 사용자 이름과 비밀번호가 콘솔에 출력됩니다. 복사하여 저장한 후 클라이언트가 서버에 인증하는 데 사용하세요.
또는 직접 설정할 수 있습니다: python3 server.py --adduser <USERNAME> <PASSWORD>

4. 워크스테이션에서 클라이언트 실행

워크스테이션(서버 아님)에서 클라이언트 UI를 실행합니다. 서버에 접근 가능해야 합니다.

cd ../client
npm install
npm run start

클라이언트를 열고 Config로 이동하여 서버 자격 증명을 입력합니다.

보안

서버의 클라이언트 API 기본 경로는 /api/입니다. /api/를 공개 인터넷에 노출하지 마십시오. VPN이나 엄격한 방화벽/역방향 프록시 규칙을 사용하여 신뢰할 수 있는 클라이언트만 접근할 수 있도록 하십시오.

5. 에이전트 생성

server 디렉토리에서 실행:

python3 agent_create.py -H <server_host> -P <server_port> [-http]

6. 에이전트 난독화