notRDP

Um plugin do Havoc C2 que cria uma área de trabalho Windows alternativa invisível, transmite-a para um visualizador baseado em navegador e suporta interação completa de mouse/teclado como o RDP, mas invisível para o usuário alvo.

Como Funciona

1. Cria uma área de trabalho oculta via CreateDesktopW e inicia explorer.exe nela
2. Captura a área de trabalho oculta usando composição PrintWindow e transmite quadros JPEG
3. Injeta entrada de mouse/teclado via PostMessage diretamente nas janelas da área de trabalho oculta
4. Renderiza o stream em um visualizador de navegador com captura completa de entrada

Pré-requisitos

Compilador cruzado: x86_64-w64-mingw32-gcc (e opcionalmente i686-w64-mingw32-gcc para x86)

Instalar no Ubuntu / Debian / Kali

sudo apt update && sudo apt install gcc-mingw-w64-x86-64 gcc-mingw-w64-i686

Instalar no Arch

sudo pacman -S mingw-w64-gcc

Instalar no Fedora

sudo dnf install mingw64-gcc mingw32-gcc

Compilando

make        # x64 only
make both   # x64 + x86
make clean  # remove .o files

Manual (sem Make)

x86_64-w64-mingw32-gcc -c -Wall -Wno-unused-variable -o screenshot.x64.o screenshot.c
x86_64-w64-mingw32-gcc -c -Wall -Wno-unused-variable -o screeninput.x64.o screeninput.c
x86_64-w64-mingw32-gcc -c -Wall -Wno-unused-variable -o notrdp_mgr.x64.o notrdp_mgr.c

Instalação

1. Compile os BOFs
2. No Cliente Havoc: Scripts Manager > Load Script > notrdp.py

Uso

notrdp [port] [quality]   # Start hidden desktop session
notrdp-close              # Close session

Plugin notrdpuser

Um plugin variante que captura a sessão real da área de trabalho do usuário em vez de criar uma oculta. Inclui captura de teclas amigável ao opsec via polling de GetAsyncKeyState embutido no BOF de captura de tela. Empacotado como notrdpuser.zip no mesmo repositório, extraia e carregue notrdpuser.py da mesma forma.

notrdpuser [port] [quality]   # Start user desktop streaming + keystroke capture
notrdpuser-close              # Close session