🛡️ BitLock Framework: Ecossistema de Criptovirologia e C2 (PoC)

Este repositório contém uma Prova de Conceito (PoC) abrangente projetada para o estudo de arquiteturas de ameaças modernas. O projeto simula um ambiente de ataque fileless (sem arquivos) com uma infraestrutura de comando e controle (C2) protegida por criptografia de curva elíptica e protocolos de exclusão segura.

🔬 Análise do Ciclo de Vida do Ataque

O sistema opera por meio de uma execução coordenada de três módulos principais, projetados para evadir defesas tradicionais e garantir a persistência das chaves no servidor.

1. Infiltração Volátil (load.py)

O ataque inicia com um Stager de Estágio 0. Sua função principal é a evasão de EDR (Endpoint Detection and Response):

• Handshake Efêmero: Gera uma chave AES-256 única na RAM e a transmite para a porta 5001.
• Criptografia de Carga Útil: O servidor criptografa o ransomware em tempo real antes do envio, frustrando a inspeção de pacotes por assinaturas estáticas.
• Execução In-Memory: O payload é descriptografado e compilado em bytecode diretamente na memória volátil.
• Anti-Forense: Implementa um secure_wipe para destruir a chave e o código fonte em texto puro antes de invocar exec().

2. Estabelecimento de Canal C2 (BitLockC2Server.py)

O servidor funciona como um cofre blindado para a gestão de ativos criptográficos:

• Hardening do Cofre: O banco de dados de chaves utiliza criptografia AES-256-GCM com derivação PBKDF2 (480.000 iterações).
• Segurança Física: O comando --del ativa um algoritmo de trituração de dados (data shredding) que sobrescreve os arquivos com lixo aleatório e utiliza os.fsync() para garantir o esvaziamento do buffer de hardware.

3. Motor de Criptografia do Alvo (BitLock-client.py)

O módulo injetado executa a criptografia de arquivos com padrões militares:

• Handshake Híbrido: Implementa ECDHE (Curva P-384) para alcançar Perfect Forward Secrecy (PFS). Possui um fallback automático para RSA-4096 se as bibliotecas de curvas elípticas não estiverem presentes.
• Criptografia Autenticada: Utiliza AES-GCM para garantir que os arquivos não possam ser alterados nem recuperados sem a assinatura de integridade original.
• Evasão Inteligente: Omite diretórios críticos do sistema (Windows, /bin/, /etc/) para evitar o colapso do sistema operacional e assegurar a visibilidade do relatório de resultados.

📊 Diagrama de Fluxo (Data Pipeline)

graph TD
    A[Cliente: Ejecuta load.py] -->|1. Envía Clave Efímera| B(Servidor C2: Puerto 5001)
    B -->|2. Envía Payload Cifrado| A
    A -->|3. Descifra y Ejecuta en RAM| C[BitLock-Payload]
    C -->|4. Intercambio ECDHE| D(Servidor C2: Puerto 5000)
    D -->|5. Almacena Llave en Bóveda| E[(DB Cifrada PBKDF2)]
    C -->|6. Cifrado AES-GCM| F[Archivos .locked]
    C -->|7. Auto-destrucción| G[Proceso Finalizado]

⚙️ Especificações Técnicas de Segurança

⚠️ Aviso de Responsabilidade (Ethical Hacking)

Este projeto é estritamente para fins educacionais e de pesquisa.

1. O uso desta ferramenta em sistemas sem autorização prévia é ilegal e constitui um crime informático.
2. O autor não se responsabiliza por danos à infraestrutura do usuário ou de terceiros.
3. Se o usuário bloquear seu próprio sistema devido a um erro de configuração, assume total responsabilidade técnica e econômica pela recuperação de seus dados.

Desenvolvido para a pesquisa de segurança ofensiva e defesa de infraestruturas críticas.