Lockjaw - Framework C2 Avançado para Windows (v0.2.15)

Lockjaw é um framework avançado e modular de comando e controle (C2) projetado para engajamentos de red team, simulações adversariais e operações furtivas. Ele utiliza uma arquitetura moderna de linguagem dividida: um Teamserver em Rust de alta concorrência acoplado a um implante evasivo em Zig sem dependências e stagers em assembly puro de código independente de posição (PIC).

ESTE É UM SOFTWARE ALFA Use por sua conta e risco. Nem todos os recursos foram testados, o código não foi revisado. Existem bugs e certos comandos podem não funcionar.

Os seguintes itens foram testados:

• Comunicações entre Teamserver e cliente
• Implante EXE
• Comandos do agente para reconhecimento
• Injeção de processo

O suporte a BOF não foi testado.

---

Visão Geral da Arquitetura

                      +------------------------------------+
                      |       Operator CLI (Python)        |
                      |   Async TUI / Prompt-Toolkit       |
                      +-----------------+------------------+
                                        | HTTPS / REST API (Port 50051)
                                        v
                      +------------------------------------+
                      |       Lockjaw Teamserver           |
                      |          (Rust / Tokio)            |
                      |  - SQLite Storage (SQLx)           |
                      |  - Dynamic Zig Cross-Compiler      |
                      |  - Multi-Transport Listener Manager|
                      +--------+------------------+--------+
                               |                  |
                    HTTPS / HTTP                  DNS (UDP 53)
                    (WinHTTP)                     (Hickory DNS / Base32)
                               |                  |
                               v                  v
                      +------------------------------------+
                      |       Lockjaw Implant (Zig)        |
                      |  - Indirect Syscalls (Halo's Gate) |
                      |  - Reflective & PoolParty Injection|
                      |  - In-Memory BOF Execution Engine  |
                      |  - Ghost AMSI Bypass (HWBP + VEH)  |
                      |  - IAT-Clean Dynamic API Resolv.   |
                      |  - RC4-Encrypted Communications    |
                      +------------------------------------+

• Teamserver (Rust): Construído sobre Tokio e Axum com Rustls. Gerencia checkins de agentes, despacho de tarefas, ciclos de vida de listeners e persistência em SQLite. Integra um pipeline de compilação cruzada de payload sob demanda utilizando Zig e GNU objcopy.
• Implante (Zig & Assembly): Compilado cruzadamente de forma nativa com alvo x86_64-windows. Autônomo, sem dependências externas de runtime C, executando no subsistema .Windows (headless, sem janela de console).
• Stagers (PIC Assembly & PowerShell): Stager em assembly x64 independente de posição reforçado (pic_stager.s) com arquitetura de pilha segura, preservação de shadow space e travessia dinâmica do PEB, juntamente com cradles leves de download e execução em PowerShell.
• Operator CLI (Python 3): TUI assíncrona construída sobre prompt_toolkit com alertas de checkin em tempo real, indexação numérica, correspondência por prefixo, gerenciamento de contexto e sincronização automática de upload/download de arquivos.

---

Capacidades Principais & Recursos

1. Evasão & Anti-Análise

• Syscalls Indiretas (Hell's Gate + Halo's Gate):
  • Extrai dinamicamente os System Service Numbers (SSNs) diretamente da ntdll.dll em memória usando hashing DJB2.
  • Recupera syscalls hookadas via varredura de vizinhos do Halo's Gate (até 32 slots acima e abaixo).
  • Salta diretamente para gadgets legítimos syscall; ret residentes na seção .text da ntdll.dll, evadindo hooks de API em modo usuário, inspeção de call stack e verificações de origem de endereço de retorno.
• Bypass "Ghost" do AMSI (HWBP + VEH):
  • Neutralizador de AMSI em memória usando Hardware Breakpoints (DR0/DR7) e Vectored Exception Handling (AddVectoredExceptionHandler).
  • Dispara uma exceção interna (0xDEADBEEF) para configurar registradores de debug em AmsiScanBuffer.
  • Captura EXCEPTION_SINGLE_STEP, zera RAX (AMSI_RESULT_CLEAN = 0) e retorna a execução de forma limpa ao chamador.
  • Modifica zero bytes de memória .text e evita vetores de detecção de SetThreadContext.
• 100% IAT-Clean & Resolução Dinâmica de API:
  • Zero importações estáticas para APIs sensíveis Win32/NT.
  • Resolve módulos percorrendo o PEB (InLoadOrderModuleList) e resolve endereços de funções dinamicamente via hashing em tempo de compilação case-sensitive (djb2) e case-insensitive (djb2_i).
• Comunicações Criptografadas:
  • Criptografia simétrica de fluxo RC4 em todas as comunicações agente-teamserver (checkins, tasking, resultados).
  • Identificação única do agente derivada de PID, TID e nome da máquina via gerador congruencial linear (LCG).
• Pegada Furtiva:
  • Opera como aplicação GUI do subsistema .Windows.
  • Suprime janelas de console via ShowWindow(hWnd, SW_HIDE).
  • Sleep de beacon configurável com algoritmos de jitter aleatório.
  • Bypass automático de erros de certificado SSL (SECURITY_IGNORE_ALL_CERT_ERRORS) permitindo uso operacional com certificados TLS autoassinados e domain fronting.
• Autodestruição:
  • Encerra o processo do agente e gera um comando de limpeza assíncrono e desanexado (ping 127.0.0.1 -n 3 > nul & del /f /q ...) para apagar com segurança o binário do disco.

2. Migração & Injeção de Processo

• Mapeamento Manual Refletivo Direto (migrate <pid> reflective):
  • Mapeia manualmente a imagem executável do agente em um processo alvo remoto usando seções de memória compartilhada com mapeamento duplo (NtCreateSection + NtMapViewOfSection mapeado RW localmente e RWX remotamente).
  • Evita alocações suspeitas de memória virtual remota (NtAllocateVirtualMemory / NtWriteVirtualMemory).
  • Realiza cópia local do cabeçalho PE, mapeamento de seções, correções de delta de realocação de base e resolução da tabela de importação diretamente na memória compartilhada antes de iniciar a execução remota de thread via syscalls indiretas NtCreateThreadEx.
  • Validação de arquitetura integrada para proteger contra incompatibilidades de injeção em 32 bits (WOW64).
• Injeção Refletiva PoolParty (migrate <pid> reflective_poolstomp):
  • Combina mapeamento refletivo de seção com injeção de processo PoolParty avançada.
  • Enumera handles de processos remotos via NtQuerySystemInformation para descobrir fábricas de workers de thread pool existentes (TpWorkerFactory).
  • Consulta WorkerFactoryBasicInformation, sobrescreve o StartRoutine da fábrica com um trampolim de execução e dispara a execução do agente incrementando WorkerFactoryThreadMinimum via NtSetInformationWorkerFactory.
  • Zero criação de novas threads: Evita completamente telemetria e alertas ancorados em CreateRemoteThread / NtCreateThreadEx (por exemplo, Sysmon Event ID 8, provedores de threat intelligence do ETW).