notRDP

대상 사용자에게는 보이지 않으면서, 보이지 않는 대체 Windows 데스크톱을 생성하고 이를 브라우저 기반 뷰어로 스트리밍하며 RDP처럼 완전한 마우스/키보드 상호작용을 지원하는 Havoc C2 플러그인입니다.

작동 방식

1. CreateDesktopW를 통해 숨겨진 데스크톱을 생성하고 그 위에서 explorer.exe를 실행합니다
2. PrintWindow 합성을 사용해 숨겨진 데스크톱을 캡처하고 JPEG 프레임을 스트리밍합니다
3. PostMessage를 통해 숨겨진 데스크톱 창에 마우스/키보드 입력을 직접 주입합니다
4. 완전한 입력 캡처와 함께 브라우저 뷰어에서 스트림을 렌더링합니다

사전 요구 사항

크로스 컴파일러: x86_64-w64-mingw32-gcc (그리고 선택적으로 x86용 i686-w64-mingw32-gcc)

Ubuntu / Debian / Kali에서 설치

sudo apt update && sudo apt install gcc-mingw-w64-x86-64 gcc-mingw-w64-i686

Arch에서 설치

sudo pacman -S mingw-w64-gcc

Fedora에서 설치

sudo dnf install mingw64-gcc mingw32-gcc

컴파일

make        # x64 only
make both   # x64 + x86
make clean  # remove .o files

수동 (Make 없이)

x86_64-w64-mingw32-gcc -c -Wall -Wno-unused-variable -o screenshot.x64.o screenshot.c
x86_64-w64-mingw32-gcc -c -Wall -Wno-unused-variable -o screeninput.x64.o screeninput.c
x86_64-w64-mingw32-gcc -c -Wall -Wno-unused-variable -o notrdp_mgr.x64.o notrdp_mgr.c

설치

1. BOF를 컴파일합니다
2. Havoc 클라이언트에서: Scripts Manager > Load Script > notrdp.py

사용법

notrdp [port] [quality]   # Start hidden desktop session
notrdp-close              # Close session

notrdpuser 플러그인

숨겨진 데스크톱을 생성하는 대신 사용자의 실제 데스크톱 세션을 캡처하는 변형 플러그인입니다. 스크린샷 BOF에 내장된 GetAsyncKeyState 폴링을 통한 opsec 친화적인 키스트로크 캡처를 포함합니다. 동일한 저장소에 notrdpuser.zip으로 패키징되어 있으며, 동일한 방식으로 추출하고 notrdpuser.py를 로드합니다.

notrdpuser [port] [quality]   # Start user desktop streaming + keystroke capture
notrdpuser-close              # Close session