BlackBerryC2 2.0.0-beta

BlackBerryC2는 교육용, 보안 연구 및 통제된 실험실 환경 전용으로 설계된 암호화된 원격 관리 및 C2 프레임워크입니다.

이 프로젝트는 외부 TLS 스택에 의존하지 않고 애플리케이션 계층 암호화, 세션 관리 및 안전한 클라이언트 통신을 갖춘 맞춤형 명령 및 제어 서버를 구축하는 방법을 보여줍니다.

⚠️ 중요 공지

이 프로젝트는 악성코드가 아니며 무단 접근을 위한 것이 아닙니다.

BlackBerryC2:

• 자체적으로 전파되지 않음
• 자동으로 취약점을 악용하지 않음
• 지속성 메커니즘을 포함하지 않음
• 안티바이러스 소프트웨어를 회피하려 시도하지 않음

소유하거나 명시적 테스트 권한이 있는 시스템 및 네트워크에서만 사용하세요.

Python 의존성:

pip install cryptography prompt_toolkit zstandard

zstandard는 선택 사항이지만 1GB 이상 전송 시 권장됩니다.

주요 기능

• 사용자 정의 TCP 기반 암호화 C2 서버 (v2.0)
• ECDHE (secp256r1) 키 교환 — 일시적 또는 영구적
• 세션당 AES-256-GCM 인증 암호화
• 패킷당 HMAC-SHA256 인증 + 재전송 방지 시퀀스 번호
• 다중 동시 클라이언트 세션
• 탭 완성 지원 대화형 운영자 콘솔 (prompt_toolkit)
• 암호화된 원격 명령 실행
• zlib / Zstandard 압축을 통한 암호화된 파일 전송
• 재귀적 디렉토리 업로드/다운로드 (get -r, put -r)
• 백그라운드 전송 (-b 플래그) — 비차단, 취소 가능
• 전송 재개 지원 (.partial + .resume 파일)
• 클라이언트 페이로드 생성기 (generate-payload)
• IP 차단: 영구 블록리스트 + 임시 자동 차단
• 스캔/플러드 탐지: 연결 스캔, 배너 그래브, 핸드셰이크 실패, 하트비트 플러드
• 선택적 HTTP(S)/TLS 프록시 지원 (BlackBerryHTTPs_TLSProxyGUI)
• SPA (단일 패킷 인증) 및 포트 노킹 사전 인증
• BerryTransfer 모드 — 전용 파일 전송 전용 서버 (셸 없음)
• 암호화된 세션 로그 (AES-256-GCM + PBKDF2, 600k 반복)
• 암호화된 서버 로그 및 셸 내 뷰어 (log 명령)
• 시작 구성이 logs/last_start.json에 저장됨

암호화 설계

BlackBerryC2 v2.0은 다음과 같이 안전한 통신을 설정합니다:

1. 클라이언트가 TCP로 연결; 서버가 서비스 배너 전송.
2. 클라이언트가 REQUEST_PUBKEY 전송.
3. 서버가 일시적 ECDHE 공개 키 (secp256r1) 전송.
4. 클라이언트가 ECDHE 공개 키 + HMAC-SHA256 인증 태그 전송.
5. 서버가 사전 공유 비밀 (HMAC_PRE_SHARED_SECRET)에 대해 HMAC을 확인.
6. 양측이 공유 비밀에 대해 HKDF-SHA256을 통해 256비트 AES 세션 키 도출.
7. 이후 모든 통신은 AES-256-GCM과 패킷당 HMAC-SHA256 및 재전송 방지 시퀀스 번호를 사용.

각 세션은 다음을 유지:

• 고유한 AES-256 키 및 HMAC 키
• 독립적인 논스 (메시지당 12바이트 랜덤)
• 분리된 재전송 방지 추적기 (시퀀스 윈도우 ±100)
• 플러드 보호 속도 제한기 (구성 가능한 명령/초)

모든 암호화 키는 런타임에 생성되며 재시작 시 재사용되지 않습니다 (--persistente 설정 시 제외).

서버 실행

python3 BlackBerryC2_server.py

기본 구성:

• 호스트: 0.0.0.0
• 포트: 9949

명령줄 인수

예시:

# 기본 시작 (로그 암호문 입력)
python3 BlackBerryC2_server.py

# 영구 ECDHE 키 + 상세
python3 BlackBerryC2_server.py -p -vv

# 사용자 정의 포트, HMAC 확인 없음
python3 BlackBerryC2_server.py -P 8080 --no-secure

# 사용자 정의 포트로 포트 노킹
python3 BlackBerryC2_server.py --spa --spa-mode knock --knock-seq 9001,9002,9003

# BerryTransfer 모드 + 자동 승인
python3 BlackBerryC2_server.py --berrytransfer --auto-confirm

# 서버 시작 없이 로그 보기/복호화
python3 BlackBerryC2_server.py --logs

운영자 콘솔 명령

서버 관리

프록시

세션 명령 (select <ID> 내부)

일반

파일 전송

BerryTransfer 모드

BerryTransfer는 scp에서 영감을 받은 전용 파일 전송 전용 서버 모드입니다. 활성화되면 서버는 모든 셸 액세스를 거부하고 BT:* 프로토콜 명령만 허용합니다.

시작:

python3 BlackBerryC2_server.py --berrytransfer
python3 BlackBerryC2_server.py --berrytransfer --auto-confirm  # GET에 대한 운영자 프롬프트 없음

BerryTransfer 셸 명령:

전송 로그는 logs/bt_transfer.jsonl에 기록됩니다 (선택적으로 AES-256-GCM 암호화).

SPA / 포트 노킹

--spa가 활성화되면 클라이언트는 TCP 연결이 수락되기 전에 UDP를 통해 인증해야 합니다.

SPA 모드 (기본값): 클라이언트가 SPA_UDP_PORT에 32바이트 HMAC-SHA256 토큰을 전송합니다.

token = HMAC-SHA256(HMAC_SECRET, "{ip}:{time_window_30s}")

노크 모드: 클라이언트가 제한 시간 내에 순서대로 UDP 포트 시퀀스를 노크합니다.

python3 BlackBerryC2_server.py --spa --spa-mode knock --knock-seq 7001,7002,7003 --knock-timeout 10

인증된 IP는 --spa-ttl초 동안 유효합니다 (기본값 60).

보안 기능

로깅

내장 뷰어로 로그 보기:

BlackBerry> log

또는 독립 실행 (서버 없음):

python3 BlackBerryC2_server.py --logs

의도된 사용

이 프로젝트는 오직 다음 용도로만 사용됩니다:

• 교육 시연
• 보안 연구
• 통제된 실험실 환경
• 승인된 침투 테스트

허가 없이 시스템에 대한 무단 사용은 엄격히 금지됩니다.

라이선스

전체 라이선스 세부 사항은 LICENSE 파일을 참조하십시오.

면책 조항

이 소프트웨어는 "있는 그대로" 제공되며, 어떠한 종류의 보증도 없습니다. 저자는 이 소프트웨어의 오용 또는 이로 인한 손해에 대해 책임을 지지 않습니다.