🧙‍♂️ Loki Comando e Controle

Loki é um framework de comando e controle (C2) de estágio 1 escrito em Node.js, criado para fazer script-jacking em aplicativos Electron vulneráveis MITRE ATT&CK T1218.015. Desenvolvido para operações de red team, o Loki permite evasão de software de segurança e contorna controles de aplicativos ao explorar aplicativos Electron confiáveis e assinados.

O script-jacking sequestra o fluxo de execução de um aplicativo Electron ao modificar arquivos JavaScript carregados em tempo de execução com código Node.js arbitrário. Essa técnica pode ser usada para:

• Criar backdoor em aplicativo Electron
• Esvaziar (hollow) aplicativo Electron
• Encadear a execução para outro processo

Embora várias ferramentas já abordem o uso de script-jacking para encadear a execução a outro processo, o Loki é o primeiro a permitir backdoor e hollow em aplicativos Electron assinados sem invalidar a assinatura de código deles.

Para mais detalhes sobre como o Loki funciona, confira este post do blog:

• Bypassing Windows Defender Application Control with Loki C2

🚀 Contribuidores

Name	Contributions
Bobby Cooke	Criador e mantenedor
Dylan Tran	Criador
Ellis Springe	Testador Alfa
Shawn Jones	Código de execução de assembly
Trusted Sec	Código do COFFLoader
Simon Exley	Criador de vídeo
Clinton Elves	Criador de vídeo
John Hammond	Criador de vídeo

Vídeos

Confira este vídeo de John Hammond sobre como criar backdoor no Cursor AI com o Loki C2! 🎩

• No vídeo, ele mostra a descoberta de um novo aplicativo Electron vulnerável, a criação de backdoor nele com o Loki C2, a configuração com a GUI do cliente, e ainda criamos duas formas de manter o aplicativo rodando persistentemente em segundo plano 🪄 -- Cursor funciona normalmente do ponto de vista do usuário final! 🥷

Confira este vídeo de Simon Exley & Clinton Elves sobre como começar a usar o Loki C2! 🧙‍♂️

Recursos e Detalhes

• Canal C2 do Azure Storage Blob
  • Token SAS para proteger a conta de armazenamento do C2
• Mensagens C2 criptografadas com AES
• Agente com suporte a proxy
  • Usa processos filhos do renderizador Chromium para o agente, execução de shellcode e execução estilo fork-n-run de assembly -- herda os recursos de suporte a proxy do Chromium.
• Sem Teamserver
  • Diferente dos C2s tradicionais, onde os agentes enviam mensagens para um Teamserver, não há Teamserver
  • O cliente GUI e os agentes fazem check-in no mesmo data-store
• Execução oculta -- roda em segundo plano

Comandos

Todos os comandos do agente são escritos em Node.JS nativo e não exigem dependências adicionais ou eventos de carregamento de bibliotecas. Com exceção dos comandos scexec e assembly, que fazem carregamento de biblioteca em keytar.node e assembly.node.

• Todos os comandos aceitam caminhos usando /; \ em caminhos não funcionará.

Comando	Descrição
help	Exibe a ajuda. Uso: help ou help scan
pwd	Exibe o diretório de trabalho
ls	Lista arquivos e diretórios
cat	Exibe o conteúdo de um arquivo
env	Exibe as variáveis de ambiente do processo
spawn	Cria um processo filho
drives	Lista unidades
mv	Move um arquivo para um novo destino
sleep	Dorme por segundos com jitter
cp	Copia um arquivo de origem para um destino
exit-all	Encerra o agente; o agente não fará mais callback
load	Carrega um arquivo PE do Node do disco para o processo
scexec	Executa shellcode
assembly	Executa um assembly .NET e obtém a saída do comando
upload	Envia um arquivo da sua máquina local do operador para a máquina remota do agente
download	Baixa um arquivo da máquina remota do agente para a máquina local do operador
scan	Realiza varredura de rede TCP em um intervalo CIDR com as portas selecionadas
dns	Consulta DNS. Utiliza a configuração de DNS do sistema
set	Define os caminhos de carregamento do Node para os nós assembly e scexec
bof	Executa um arquivo COFF e retorna a saída

Set - Carregando Nós a partir de Caminhos de Exclusão do Application Control

• Se houver regras de controle de aplicativo impedindo carregamentos de biblioteca para os arquivos de nó, você pode usar o comando set para alterar os caminhos de carregamento de assembly.node e scexec.node.
• Usando ls, cat, cp e mv, você pode enumerar as regras de controle de aplicativo para descobrir um diretório gravável que seja uma exclusão.
• Com isso, você pode colocar os arquivos de nó no diretório de exclusão e usar o comando set para alterar o caminho de carregamento deles para o diretório de exclusão, contornando o controle de aplicativo.
• Para mais detalhes sobre esse vetor de ataque, consulte o curso CRTO2 de Daniel Duggan (@_RastaMouse)

[04-04-2025 8:50AM MST] advsim$ help set
Set the Node load paths for assembly node and scexec nodes
	set scexec_path C:/Users/user/AppData/ExcludedApp/scexec.node
	set assembly_path C:/Users/user/AppData/ExcludedApp/assembly.node
[04-04-2025 8:51AM MST] advsim$ set scexec_path C:/Users/user/AppData/ExcludedApp/scexec.node
SCEXEC Node Load Path Set to : C:/Users/user/AppData/ExcludedApp/scexec.node

Recursos do Agente

Para mais informações sobre os recursos do Agente, clique aqui

Recursos do Cliente

Para mais informações sobre os recursos do Cliente, clique aqui