🛡️ BitLock 프레임워크: 암호바이러스학 및 C2 생태계 (PoC)

이 저장소는 현대 위협 아키텍처 연구를 위해 설계된 통합 **개념 증명(PoC)**을 포함합니다. 이 프로젝트는 타원 곡선 암호화와 안전한 삭제 프로토콜로 보호된 명령 및 제어(C2) 인프라를 갖춘 파일리스(무파일) 공격 환경을 시뮬레이션합니다.

🔬 공격 수명 주기 분석

시스템은 전통적인 방어를 회피하고 서버에서 키의 지속성을 보장하도록 설계된 세 가지 주요 모듈의 조정된 실행을 통해 작동합니다.

1. 휘발성 침투 (load.py)

공격은 Stage 0 스테이저로 시작됩니다. 주요 기능은 EDR(엔드포인트 탐지 및 대응) 회피입니다:

• 임시 핸드셰이크: RAM에 고유한 AES-256 키를 생성하고 5001 포트로 전송합니다.
• 페이로드 암호화: 서버가 전송 전에 랜섬웨어를 실시간으로 암호화하여 정적 서명에 의한 패킷 검사를 방해합니다.
• 인메모리 실행: 페이로드는 복호화되어 휘발성 메모리에서 직접 바이트코드로 컴파일됩니다.
• 안티 포렌식: exec()를 호출하기 전에 키와 평문 소스 코드를 파괴하는 secure_wipe를 구현합니다.

2. C2 채널 설정 (BitLockC2Server.py)

서버는 암호화 자산 관리용 방탄 금고처럼 작동합니다:

• 볼트 강화: 키 데이터베이스는 PBKDF2(480,000 반복) 파생과 함께 AES-256-GCM 암호화를 사용합니다.
• 물리적 보안: --del 명령은 무작위 쓰레기로 파일을 덮어쓰고 하드웨어 버퍼 플러시를 보장하기 위해 os.fsync()를 사용하는 데이터 분쇄 알고리즘을 활성화합니다.

3. 대상 암호화 엔진 (BitLock-client.py)

주입된 모듈은 군사 표준으로 파일 암호화를 실행합니다:

• 하이브리드 핸드셰이크: 완전 순방향 비밀성(PFS)을 달성하기 위해 **ECDHE(P-384 곡선)**을 구현합니다. 타원 곡선 라이브러리가 없는 경우 자동으로 RSA-4096으로 폴백합니다.
• 인증 암호화: AES-GCM을 사용하여 원본 무결성 서명 없이는 파일이 변경되거나 복구될 수 없도록 합니다.
• 지능형 회피: 운영 체제 충돌을 방지하고 결과 보고서의 가시성을 보장하기 위해 중요 시스템 디렉토리(Windows, /bin/, /etc/)를 건너뜁니다.

📊 흐름도 (데이터 파이프라인)

graph TD
    A[Cliente: Ejecuta load.py] -->|1. Envía Clave Efímera| B(Servidor C2: Puerto 5001)
    B -->|2. Envía Payload Cifrado| A
    A -->|3. Descifra y Ejecuta en RAM| C[BitLock-Payload]
    C -->|4. Intercambio ECDHE| D(Servidor C2: Puerto 5000)
    D -->|5. Almacena Llave en Bóveda| E[(DB Cifrada PBKDF2)]
    C -->|6. Cifrado AES-GCM| F[Archivos .locked]
    C -->|7. Auto-destrucción| G[Proceso Finalizado]

⚙️ 보안 기술 사양

⚠️ 책임 부인 (윤리적 해킹)

이 프로젝트는 교육 및 연구 목적으로만 사용됩니다.

1. 사전 승인 없이 시스템에서 이 도구를 사용하는 것은 불법이며 컴퓨터 범죄에 해당합니다.
2. 저자는 사용자 또는 제3자의 인프라 손상에 대해 책임을 지지 않습니다.
3. 사용자가 구성 오류로 인해 자신의 시스템을 잠근 경우 데이터 복구에 대한 모든 기술적 및 재정적 책임을 부담합니다.

공격적 보안 연구 및 중요 인프라 방어를 위해 개발되었습니다.