kamalx06/tornadorevc2TCP/TLS/mTLS를 통한 리버스 셸 세션을 관리하며, 열거, 인메모리 실행, SOCKS5 피버팅, 지속성을 위한 플러그인을 제공하는 모듈식 포스트 익스플로잇 프레임워크입니다.
권한이 부여된 보안 연구, 레드팀 작전, 침투 테스트를 위한 경량 모듈식 포스트 익스플로잇 프레임워크입니다. TornadoRevC2는 Linux 및 Windows 호스트에서 대화형 리버스 셸 및 바인드 셸 세션을 통합 운영자 콘솔을 통해 관리하며, 일반 TCP, 서버 인증 TLS, 상호 인증 TLS 전송을 지원합니다. 핵심 세션 처리는 호스트 열거, 상황 인식, 운영 작업을 위한 크로스 플랫폼 플러그인 아키텍처로 확장됩니다.
중요: TornadoRevC2는 동일한 프로세스에서 두 가지 상호 보완적인 세션 모델을 실행합니다. 셸 핸들러는 안정적인 대화형 세션, 구조화된 운영자 워크플로, 온디맨드 플러그인 실행을 우선시합니다. 비콘 서브시스템은 라이브 소켓 대신 스케줄링, 자폭, 네트워크 복원력이 필요한 장기 작전을 위한 풀 기반 컴파일 에이전트를 추가합니다. 둘 다 운영자 콘솔, TLS 자료, 로깅 인프라를 공유하지만, 어느 쪽도 다른 쪽을 필요로 하지 않습니다. Beacon Subsystem을 참조하십시오.
이 소프트웨어는 본인이 소유한 시스템 또는 명시적인 서면 승인을 받은 시스템에서만 사용하십시오. 관련 법률 및 조직 정책 준수에 대한 책임은 전적으로 사용자에게 있습니다. 저자와 기여자는 이 프로젝트의 사용으로 인해 발생하는 오용, 데이터 손실 또는 법적 결과에 대해 어떠한 책임도 지지 않습니다.
빠른 데모: 세션 관리, 플러그인 실행, SOCKS5 피벗팅.
TornadoRevC2는 단일 프로세스에서 두 가지 세션 모델을 지원하는 모듈식 포스트 익스플로잇 프레임워크로, 하나의 운영자 콘솔과 하나의 인프라 구성 요소 집합(TLS 인증서 자료, 가변 프로파일, 세션 로깅)을 공유합니다:
대화형 셸 세션 — 리버스 셸(대상이 일반 TCP, 서버 인증 TLS,
또는 클라이언트 인증서 검증을 사용하는 상호 TLS를 통해 핸들러에
연결)과 바인드 셸(핸들러가 일반 TCP 또는 TLS를 통해 대상에 연결).
둘 다 런타임에 HTTPS 보조 전송(HTTP/2 또는 TLS 상의 HTTP/1.1) 또는
대상에서 호스팅되는 SMB 명명된 파이프로 이동할 수 있으며,
backtoshell로 되돌릴 수 있습니다. 모든 흐름은 동일한 세션 객체를
생성하고 동일한 프로브, 플러그인, 전송, 보고 파이프라인을 통과합니다.
컴파일된 비콘 세션 — 운영자 머신에서 크로스 컴파일된 Go 에이전트로, 디스크에 런타임 구성이 없습니다. 에이전트는 일정에 따라 체크인하고, 대기 중인 작업을 검색하여 프로세스 내 네이티브 핸들러 또는 셸을 통해 실행한 후 슬립으로 돌아갑니다. 작업과 결과는 종단 간 ECDSA 서명되며, 전송은 선택적 상호 TLS를 사용하는 HTTPS이고, 모든 동작 속성은 빌드 시점에 내장됩니다.
이 프레임워크는 세션 관리, 호스트 정찰, 청크 파일 전송, 메모리 내
페이로드 실행, SOCKS5 피벗팅, 플러그인 기반 포스트 익스플로잇,
구조화된 보고, 자동 Git 기반 업데이트 및 원활한 핸들러 재시작을 위한
내장 update 명령을 위한 통합 운영자 콘솔을 제공합니다. 방화벽 열거,
자격 증명 저장소 메타데이터 수집, 네트워크 매핑, 브라우저 프로파일링,
Windows 도메인 트러스트 분석 및 추가 포스트 익스플로잇 기능은 65개의
독립적이고 모듈식인 플러그인으로 구현됩니다. make_token 플러그인은
운영자 측에서 원격 프로토콜(SSH, WinRM, SMB, WMI, MSSQL, DCOM,
MySQL/MariaDB)을 통해 새로운 C2 세션을 설정합니다. upgrade_mtls는
핸들러의 클라이언트 인증서 번들을 대상에 푸시하여 라이브 세션을
상호 TLS 리스너로 마이그레이션합니다.
지원 대상 플랫폼: Linux 및 Windows(주요), 해당되는 경우 일반 Unix 및 BSD 환경과의 호환성.
| 카테고리 | 기능 |
|---|---|
| 세션 처리 | 자동 PKI 부트스트래핑을 갖춘 다중 클라이언트 TCP / TLS / mTLS 리스너 · 라이브 세션에 대한 온디맨드 mTLS 업그레이드 · 바인드 셸 지원 — TCP 또는 TLS에서 수신 대기 중인 대상에 연결 · 대화형 PTY/TTY 셸 · 세션 핑거프린팅 및 재연결 추적 |
| 보조 전송 | HTTPS 채널 — http2switch <ID>가 대상에서 HTTP/2 또는 HTTP/1.1 에이전트를 생성하고 활성 전송을 전환합니다. SMB 명명된 파이프 — smbswitch <ID>가 대상에 C# 파이프 서버를 배포하고 핸들러를 SMB 클라이언트로 연결합니다. backtoshell <ID>는 활성 상태인 보조 전송을 닫고 되돌립니다. transport <ID>는 모든 채널의 라이브 상태를 표시합니다 · 듀얼 스택 HTTPS 리스너는 ALPN을 통해 h2와 http/1.1을 협상합니다 · Linux HTTP/2 에이전트는 전적으로 메모리에서 실행됩니다(stdin을 통한 python3 -) · Windows 에이전트는 Start-Job에서 실행되고, Linux 에이전트는 자체 setsid 세션 그룹에서 실행됩니다 · --front-domain을 통한 도메인 프론팅 / 리다이렉터 지원 · 바인드 인터페이스는 IP 또는 인터페이스 이름(tun0, eth0)일 수 있으며, 생략 시 자동 감지됩니다 |
| 운영 보안 | Linux 및 Windows에서 셸 기록 억제 · 명령 경로에 pty.spawn 또는 Invoke-Expression 없음 · 세션 범위 프로브 마커 · 세션별 무작위화된 식별 문자열(셸 변수, 실행 마커, HMAC 키) · 명령 난독화 — bash/zsh/PowerShell에 설치된 세션별 XOR+base64 래퍼로, 평문 명령이 셸 기록, ps, Sysmon EventID 1, auditd에 도달하지 않습니다 · 프로세스 내 실행 — Linux HTTP/2 에이전트는 자식 프로세스를 생성하지 않고 cat, ls, env, ps, pwd, whoami, id, hostname, uname을 제공합니다 · HMAC 서명된 HTTP/2 토큰(/c2/<token>?s=<hmac>) · TLS 세션 티켓 · HTTPS keepalive(PING) 및 널 바이트 프레임 패딩 · 구성 가능한 연결 시 지터(기본 0.3–1.5초, TORNADO_CONNECT_DELAY 재정의) · 에이전트별 킬 날짜 / 자폭(TORNADO_KILL_DAYS, 기본 30) · Linux HTTP/2 전달 중 대상에 로그 또는 스테이징 파일이 기록되지 않음 · Windows HTTP/2 에이전트를 위한 ECDSA 명령 서명 · PTY 업그레이드 검증 |
| 파일 전송 | 재개 가능한 청크 업로드 · 재개 가능한 청크 다운로드 · SHA-256 무결성 검증 · 업로드(--https) 및 푸시 스타일 다운로드(--https-push)를 위한 선택적 HTTPS 전송, 대상 인터페이스 바인딩 및 콜백 주소 재정의 지원 |
| 페이로드 실행 | py, ps, exe, elf, bat, sh에 대한 메모리 내 실행 — memfd 기반 ELF 실행(최신 및 레거시 폴백)과 서브시스템 인식 PE 로딩 지원 |
| 피벗팅 및 터널링 | 침해된 세션을 통한 SOCKS5 프록시 · Windows 터널 에이전트는 메모리에서 실행(C#, 디스크 아티팩트 없음), Unix는 /tmp 아래의 Python 에이전트 사용 · socks test는 이미 실행 중인 프록시를 필요로 하며 에이전트를 암시적으로 배포하지 않음 · 소프트 및 하드 터널 리셋(socks reset [--hard]) · socks stop 및 세션 연결 해제 시 원격 에이전트 자동 정리 · 백그라운드 지속성을 갖춘 Ligolo-NG 및 Chisel 에이전트 배포 |
| 원격 세션 설정 | make_token — 운영자 측에서 SSH, WinRM, SMB, WMI, MSSQL, DCOM 또는 MySQL/MariaDB를 통해 새 세션을 설정하며, 비밀번호 / NTLM 해시 / SSH 키 / WinRM 클라이언트 인증서 인증, MySQL UDF 자동 로딩, 사용자 지정 명령 실행, netexec 통합 지원 |
| 임퍼소네이션 | runas — 다른 사용자로 명령을 실행하거나 TLS 암호화 셸을 생성하며, 로컬 또는 원격, 도메인 지원 및 netexec 통합 · steal_token — 프로세스와 소유자를 나열하고, 다른 프로세스의 토큰을 임퍼소네이트하거나, 토큰 소유자로 실행되는 cmd / 리버스 셸을 생성 |
| 토큰 권한 | enablepriv — 메모리 내 C#(AdjustTokenPrivileges)을 통해 현재 Windows 토큰의 모든 권한을 활성화, 비활성화, 나열 또는 토글하며, --list / --list-all / --all 모드 지원 |
| 열거 | 호스트 트리아지, 탐지 환경 사전 점검, 네트워크 상태, 자격 증명 및 브라우저 메타데이터, Kerberos 티켓, Linux 내부(sudo 구성, 쓰기 가능한 파일 시스템 대상, 제한 셸 탐지), Windows 도메인 트러스트, WMI 지속성, 로드된 모듈, Windows 도메인 및 시스템 구성을 포괄 |
| 운영 플러그인 | 다중 패스 보안 파일 삭제 · 하이브리드 파일 암호화 · 셸 기록 삭제 · Windows 이벤트 로그 삭제 · 창 컨텍스트를 포함한 크로스 플랫폼 키스트로크 캡처 |
| 지속성 | TLS 암호화 페이로드를 사용한 크로스 플랫폼 백도어 설치 — Linux/Unix의 cron @reboot, Windows의 Run 레지스트리 |
| 확장성 | 런타임 플러그인 로드, 재로드, 언로드, 재스캔(라이브 검색 — 핸들러 재시작 불필요) · TORNADOREVC2_PLUGIN_DIR을 통한 외부 플러그인 · 문서화된 SessionContext API |
| 보고 | 세션별 로깅 · 구조화된 플러그인 출력 · HTML 트랜스크립트 내보내기 |
| 자체 업데이트 | 저장소 검증, fast-forward 풀, 자동 핸들러 재시작을 갖춘 Git 기반 update 명령 |
| 비콘 서브시스템 | 운영자 머신에서 크로스 컴파일된 Go 에이전트 · HTTPS / mTLS 전송 · uTLS 브라우저 ClientHello 핑거프린팅(chrome, firefox, safari) · 최초 사용 시 신뢰(TOFU) 공개 키 피닝을 사용한 ECDSA P-256 작업 및 결과 서명 · HMAC 증명을 사용한 쿠키 기반 세션 토큰 · fork 또는 execve 없이 네이티브 프로세스 내 동사(cat, ls, ps, id, env, pwd, whoami, hostname, uname) · SHA-256 검증을 갖춘 청크 파일 전송 · 메모리 내 PE(Windows) 및 ELF(Linux) 실행 · 셸 핸들러의 bofloader 플러그인과 공유되는 내장 C# 로더를 통한 Windows의 BOF/COFF 로딩 · stdin을 통해 소스가 파이프되는 인라인 스크립트 실행(pyexec, psexec, shexec) · 컴파일 시점 OPSEC 프로파일(안티 샌드박스, 안티 디버그, 안티 VM, AMSI/ETW 패칭, 문자열 난독화, garble, UPX) · HTTP 핑거프린팅을 위한 명명된 C2 프로파일 · 런타임 구성 가능한 슬립 및 근무 시간 · 4xx/5xx 시 자동 재연결 · 킬 날짜 / 자폭 · 백그라운드 세션 리퍼 · 무작위 버킷으로의 응답 패딩 · 대화형 beacon-build 마법사 |
지원되지 않음: 대상에서의 예약된 작업 관리, 또는 셸 핸들러의 @plugin.command 레지스트리와의 비콘 측 플러그인 호환성.
TornadoRevC2는 배포 마찰과 운영 흔적이 중요한 환경을 위해 설계되었습니다. 셸 핸들러와 비콘 서브시스템은 이 원칙을 공유하지만 서로 다르게 실현합니다. 셸 핸들러는 이미 존재하는 셸 프리미티브에 의존하여 아티팩트를 피하고, 비콘은 외부 구성이 없는 자체 포함 바이너리를 제공하여 아티팩트를 피합니다.
플러그인은 대상 호스트에 이미 존재하는 네이티브 Windows 및 Linux 유틸리티와 내장 시스템 명령—netsh, ss, iptables, ufw, firewall-cmd, nft, PowerShell cmdlet, nmcli, wevtutil 등—을 활용합니다. 수집기는 리버스 셸 채널을 통해 이러한 도구를 호출하고 원격으로 출력을 파싱하여, 추가 바이너리를 업로드하거나 의존성을 설치할 필요를 최소화합니다.
열거 플러그인은 기존 리버스 셸 채널을 통해 실행되며 정찰을 위해 바이너리, 스크립트 또는 임시 파일을 드롭하지 않습니다. 네이티브 명령, 인라인 Python 수집기, 프로세스 내 PowerShell 스크립트가 셸을 통해 구조화된 JSON을 반환합니다. 유일하게 피할 수 없는 아티팩트는 셸 자체에서 생성되는 일반 명령 기록이며, TornadoRevC2는 세션 시작 시 이를 억제합니다(운영 보안 참조).
운영 플러그인은 의도적으로 대상에 아티팩트를 배치하며 자체 정리 동작을 문서화합니다:
