Fawkes é um agente Mythic C2 em golang escrito exclusivamente por IA.
# Agente Mythic C2 Fawkes
<img src="https://raw.githubusercontent.com/galoryber/fawkes/HEAD/agent_icons/fawkes.svg" width="100" />
Fawkes é um agente Mythic C2 inteiramente codificado por vibe. Começou como um "e se" e se transformou em um objetivo. Meu objetivo é não escrever uma única linha de código para este agente, mas sim produzi-lo exclusivamente através de um prompt.
Originalmente, tentei escrever o agente eu mesmo, mas depois de clonar o contêiner de exemplo, ler a documentação do Mythic, assistir aos vídeos da série de desenvolvimento no YouTube e copiar código de outros agentes como Merlin ou Freyja, decidi que simplesmente não tinha tempo para desenvolver meu próprio agente. Um prompt, porém, tenho tempo para isso.
Fawkes é um agente baseado em Golang com capacidades multiplataforma. Ele suporta **Windows** (carregamentos EXE, DLL e shellcode), **Linux** (binários ELF e bibliotecas compartilhadas) e **macOS** (binários Mach-O para Intel e Apple Silicon). **213 comandos** no total: 113 multiplataforma, 82 apenas Windows, 21 apenas Unix, 11 apenas Linux e 6 apenas macOS (alguns comandos têm implementações específicas de plataforma compartilhando um nome visível ao usuário, ex.: screenshot). Suporta saída HTTP e vinculação ponto a ponto (P2P) via TCP para pivô interno.
## Instalação
Para instalar o Fawkes, você precisará do Mythic instalado em um computador remoto. Você pode encontrar instruções de instalação para o Mythic na [página do projeto Mythic](https://github.com/its-a-feature/Mythic/).
A partir do diretório de instalação do Mythic:```
./mythic-cli install github https://github.com/galoryber/fawkes
```
## Referência Rápida de ComandosCommand | Syntax | Description
------- | ------ | -----------
acl-edit | `acl-edit -action read -server dc01 -target user` | Ler/modificar DACLs de objetos do Active Directory (adicionar/remover ACEs, conceder DCSync, GenericAll, backup/restore). Multiplataforma (T1222.001, T1098, T1003.006).
adcs | `adcs -action <cas\|templates\|find\|request\|auto-exploit> -server <DC> -username <user@domain> -password <pass> [-ca_name <CA>] [-template <name>] [-alt_name <UPN>]` | Enumerar Serviços de Certificados do AD, encontrar modelos vulneráveis (ESC1-ESC4, ESC6 via DCOM), solicitar certificados via DCOM para exploração ESC1/ESC6, ou auto-explorar (encontrar → analisar → cadeia de requisição). Multiplataforma (T1649).
ads | `ads -action <write\|read\|list\|delete> -file <path> [-stream <name>] [-data <content>] [-hex true]` | **(Apenas Windows)** Gerenciar NTFS Alternate Data Streams — escrever, ler, listar ou excluir fluxos de dados ocultos. Suporta texto e binário codificado em hex. MITRE T1564.004.
amcache | `amcache -action <query\|search\|delete\|clear> [-name <pattern>] [-count <n>]` | Consultar e limpar artefatos forenses de execução. Windows: Shimcache. Linux: recently-used.xbel, miniaturas, Tracker. macOS: itens recentes, KnowledgeC, quarentena (T1070.004).
apc-injection | `apc-injection [-method <apc\|hwbp>] -pid <PID> [-tid <TID>] [-target_api ntdll!NtDelayExecution] [-timeout_ms 30000]` | **(Apenas Windows)** Injeção remota em processos. `-method apc` (padrão) enfileira shellcode via NtQueueApcThread em uma thread alertável (use `ts` para encontrar uma). `-method hwbp` anexa via DebugActiveProcess, define um breakpoint de hardware DR0 em uma API alvo (padrão `ntdll!NtDelayExecution`) e redireciona Rip para o shellcode quando o breakpoint é acionado — sem TID necessário, sem fila APC, sem CreateRemoteThread (T1055.004, T1055).
audio-capture | `audio-capture [-duration 10] [-sample_rate 16000] [-channels 1] [-device default]` | Gravar áudio do microfone e enviar arquivo WAV. Windows (waveIn), Linux (arecord/parecord), macOS (rec/ffmpeg). Multiplataforma (T1123).
auditpol | `auditpol -action <query\|disable\|enable\|stealth> [-category <name\|all>]` | **(Apenas Windows)** Consultar e modificar políticas de auditoria do Windows. Desabilitar o registro de eventos de segurança antes de operações sensíveis. O modo stealth desabilita subcategorias críticas para detecção. Usa a API AuditQuerySystemPolicy (T1562.002).
argue | `argue -command "cmd.exe /c whoami" -spoof "cmd.exe /c echo hello"` | **(Apenas Windows)** Executar um comando com argumentos de processo falsificados. Ignora Sysmon Event ID 1 e telemetria de linha de comando de EDR (T1564.010).
arp | `arp [-ip <subnet>]` ou `arp -action spoof -target <IP> -gateway <IP>` | Exibir tabela ARP com filtragem, ou envenenamento de cache ARP para posicionamento MITM (T1557.002). Spoof: apenas Linux, restaura na limpeza.
asrep-roast | `asrep-roast -server <DC> -username <user@domain> -password <pass> [-account <target>]` | Solicitar tickets AS-REP para contas sem pré-autenticação e extrair hashes no formato hashcat para quebra offline. Auto-enumera via LDAP. Multiplataforma (T1558.004).
av-detect | `av-detect [-deep true]` | Detectar produtos AV/EDR/segurança instalados, varrendo processos em execução contra um banco de dados de 130+ assinaturas. Com `--deep`, também verifica módulos do kernel, unidades systemd e diretórios de configuração para produtos instalados mas não em execução (Linux). Relata produto, fornecedor, tipo e PID. Multiplataforma.
autopatch | `autopatch <dll_name> <function_name> <num_bytes>` | **(Apenas Windows)** Aplicar patch automático em uma função pulando para o retorno mais próximo (instrução C3). Útil para bypasses de AMSI/ETW.
base64 | `base64 -action <encode\|decode\|xor\|hex\|hex-decode\|rot13\|url\|url-decode\|caesar> -input <data> [-key <key>] [-shift <N>] [-file true] [-output <path>]` | Kit de ferramentas de codificação de dados: base64, XOR (com chave string/hex), hex, ROT13, codificação percentual de URL, cifra de César. Todos suportam E/S de arquivo. Multiplataforma (T1132.001, T1140, T1027).
bits | `bits -action <list\|create\|persist\|cancel\|suspend\|resume\|complete> [-name <job>] [-url <URL>] [-path <local>] [-command <exe>]` | **(Apenas Windows)** Gerenciar trabalhos de transferência BITS para persistência e download furtivo de arquivos. Criar, suspender, retomar, concluir trabalhos e definir comandos de notificação para persistência. Trabalhos sobrevivem a reinicializações (T1197).
browser | `browser [-action <passwords\|cookies\|history\|autofill\|bookmarks\|downloads>] [-browser <all\|chrome\|edge\|chromium\|firefox>]` | Coletar dados do navegador de Chromium, Firefox e Safari. Histórico, preenchimento automático, favoritos, downloads multiplataforma. Senhas: Chromium (DPAPI/Keychain/GNOME Keyring), Firefox (descriptografia key4.db NSS), Safari (macOS Keychain). Cookies do Firefox em todas as plataformas. MITRE T1555.003, T1217.
cat | `cat <file>` ou `cat -path <file> -start N -end N -number true` | Exibir conteúdo de arquivo com faixa de linhas opcional, numeração e proteção de tamanho de 5MB.
cd | `cd <directory>` | Alterar o diretório de trabalho atual.
chmod | `chmod -path <file> -mode <permissions> [-recursive true]` | Modificar permissões de arquivo/diretório com notação octal (755, 644) ou simbólica (+x, u+rw, go-w). Suporte recursivo. Multiplataforma (T1222).
chown | `chown -path <file> -owner <user> [-group <group>] [-recursive true]` | **(Apenas Linux/macOS)** Alterar proprietário/grupo de arquivo/diretório por nome de usuário/UID e nome de grupo/GID. Suporte recursivo (T1222).
cert-check | `cert-check -host <hostname> [-port 443] [-timeout 10]` | Inspecionar certificados TLS em hosts remotos — identifica CAs, certificados autoassinados, expiração, SANs, versão TLS, conjuntos de cifras e impressões digitais SHA256. Multiplataforma (T1590.001).
certstore | `certstore -action <list\|find> [-store <MY\|ROOT\|CA\|Trust\|TrustedPeople>] [-filter <substring>]` | **(Apenas Windows)** Enumerar repositórios de certificados do Windows para encontrar certificados de assinatura de código, certificados de autenticação de cliente e chaves privadas. Pesquisa CurrentUser e LocalMachine. MITRE T1552.004, T1649.
clipboard | `clipboard -action <read\|write\|monitor\|dump\|stop> [-data "text"] [-interval 3]` | Ler/escrever área de transferência ou monitorar continuamente alterações com detecção de padrões de credenciais. Multiplataforma (T1115).
cloud-metadata | `cloud-metadata -action <detect\|creds\|storage\|aws-iam\|azure-graph\|gcp-iam\|aws-s3\|azure-blob\|gcp-gcs\|aws-persist\|azure-persist\|aws-ssm\|azure-keyvault\|gcp-secrets\|...> [-provider <auto\|aws\|azure\|gcp\|do>]` | Metadados de nuvem, extração de credenciais, enumeração de IAM, enumeração de armazenamento, persistência e acesso a cofres de segredos. storage/aws-s3/azure-blob/gcp-gcs: enumerar buckets/contêineres com objetos de exemplo. aws-ssm: SSM Parameter Store com descriptografia. azure-keyvault: segredos do Key Vault via identidade gerenciada. gcp-secrets: Secret Manager via conta de serviço. aws-persist/azure-persist: criar chaves de acesso de longa duração/registros de aplicativo. Detecção automática. IMDSv2. Multiplataforma (T1552.005, T1580, T1530, T1098.001).
compress | `compress -action <create\|list\|extract\|stage\|exfil\|stage-exfil\|exfil-https\|exfil-github> -path <path> [-format zip\|tar.gz] [-output <out>] [-pattern *.txt] [-cleanup true]` | Criar, listar, extrair, preparar ou exfiltrar arquivos. Stage criptografa com AES-256-GCM. Exfil transfere para Mythic. exfil-https: enviar para URLs pré-assinadas S3/Azure/GCS com uploads fragmentados, cabeçalhos personalizados, jitter. exfil-github: exfiltrar via GitHub Contents API. Multiplataforma (T1560.001, T1074.001, T1041, T1048, T1567, T1567.001).
coerce | `coerce -server <target> -listener <attacker-ip> [-method petitpotam\|printerbug\|shadowcoerce\|all] -username <user> [-password <pass>] [-hash <NT hash>] [-domain <domain>]` | Coerção de autenticação NTLM via MS-EFSR (PetitPotam), MS-RPRN (PrinterBug), MS-FSRVP (ShadowCoerce). Força o alvo a autenticar no listener do atacante. Suporte pass-the-hash. Multiplataforma (T1187).
config | `config [-action show\|set\|update] [-key sleep\|jitter\|killdate\|working_hours_start\|working_hours_end\|working_days] [-value <val>] [-file <binary>] [-hash <sha256>]` | Visualizar ou modificar configuração de tempo de execução do agente, ou auto-atualizar o binário do agente. `show`/`set`: sleep, jitter, kill date, horário de trabalho. `update`: baixar novo payload do Mythic, verificar, iniciar e sair do agente atual. Multiplataforma (T1105).
container-detect | `container-detect` | Detectar runtime e ambiente de contêiner (Docker, K8s, LXC, Podman, WSL). Verifica vetores de escape como sockets Docker e contas de serviço K8s. Multiplataforma (T1082, T1497.001).
container-escape | `container-escape -action <check\|docker-sock\|cgroup\|nsenter\|mount-host\|k8s-enum\|k8s-secrets\|k8s-rbac\|k8s-nodes\|k8s-etcd\|k8s-deploy\|k8s-exec> [-command '<cmd>'] [-path <ns>\|<ns1,ns2,...>\|*] [-kubeconfig /path/to/config]` | **(Apenas Linux)** Fuga de contêiner + operações K8s — socket Docker, cgroup, nsenter, montagem de dispositivo host. K8s: enumerar pods/serviços, ler segredos, **k8s-rbac**: varredura de ClusterRole/RoleBinding + pontuação de caminho de escalonamento de privilégio (crit/warn/info), **k8s-nodes**: superfície de ataque de nós do cluster (kubelet/OS/kernel/CIDR/taints/roles), **k8s-etcd**: descobrir endpoints de cliente etcd a partir de argumentos de pod do plano de controle + sonda `/version` não autenticada por endpoint (leitura não autenticada = comprometimento total do cluster), implantar/executar pods via API. **Fora do cluster**: `-kubeconfig` aceita arquivos kubeconfig roubados para acesso K8s a partir de hosts não contêiner (autenticação token + certificado cliente) (T1611, T1610, T1613, T1552.007, T1069.003, T1087.004).
cp | `cp <source> <destination>` | Copiar um arquivo da origem para o destino.
cred-check | `cred-check [-action check\|verify-all] -hosts <IPs/CIDRs> -username <DOMAIN\user> -password <pass> [-hash <NTLM>] [-timeout <seconds>]` | Testar credenciais contra SMB, WinRM e LDAP em hosts alvo. `verify-all` testa todas as credenciais do cofre contra hosts descobertos em paralelo. Multiplataforma (T1110.001, T1078).
cred-harvest | `cred-harvest -action <shadow\|cloud\|configs\|history\|windows\|m365-tokens\|browser-live\|all\|dump-all> [-user <username>]` | Coletar credenciais: hashes shadow (Unix), configurações de nuvem (AWS/GCP/Azure/K8s), segredos de aplicativos, varredura de histórico de shell para senhas/tokens/chaves de API vazados, histórico do PowerShell + variáveis de ambiente + RDP (Windows), tokens M365 OAuth/JWT do TokenBroker/Teams/Outlook (Windows), **browser-live**: roubar cookies ativos, localStorage, sessionStorage via Chrome DevTools Protocol (CDP) de Chrome/Edge em execução. **dump-all**: cadeia de subtarefas automatizada — executa hashdump + lsa-secrets + cred-harvest em paralelo (Windows). Multiplataforma (T1552, T1003.008, T1528, T1539).
credential-prompt | `credential-prompt [-action dialog\|device-code\|mfa-phish] [-title "Authentication Required"] [-message "Enter your credentials..."] [-icon caution]` | Exibir diálogo de credenciais nativo, abusar do fluxo de código de dispositivo OAuth ou phishing de código MFA. dialog: AppleScript macOS, CredUI Windows, zenity/kdialog Linux. device-code: fluxo de código de dispositivo Azure AD OAuth para captura de token. mfa-phish: diálogo falso de verificação MFA para capturar códigos TOTP. Multiplataforma (T1056.002, T1621, T1111).
curl | `curl -url <URL> [-method GET\|PUT\|POST] [-file <path>] [-upload raw\|multipart] [-headers '{"K":"V"}'] [-body <data>]` | Requisições HTTP + upload de arquivo para exfiltração (T1567). Enviar para URLs pré-assinadas S3, SAS Azure, endpoints genéricos. Multiplataforma (T1106, T1567.002).
cut | `cut -path <file> -delimiter <char> -fields <1,3\|1-3\|2-> [-chars <1-10>]` | Extrair campos ou faixas de caracteres de linhas de arquivo. Delimitadores personalizados, especificações de faixa. Multiplataforma (T1083).
credman | `credman [-action <list\|dump\|vault>] [-filter <pattern>]` | Enumerar repositórios de credenciais da plataforma. Windows: Credential Manager + Vault (CredEnumerateW, vaultcli.dll). Linux: GNOME Keyring (secret-tool), KDE KWallet, senhas WiFi/VPN do NetworkManager, GNOME Online Accounts. macOS: itens do Keychain (senhas genéricas + internet), senhas WiFi. `list`=metadados, `dump`=com segredos, `vault`=apenas Windows. MITRE T1555.004, T1555.001.
defender | `defender -action <status\|exclusions\|add-exclusion\|remove-exclusion\|threats\|enable\|disable> [-type <path\|process\|extension>] [-value <val>]` | **(Apenas Windows)** Gerenciar Defender — status, exclusões, ameaças, ativar/desativar proteção em tempo real. MITRE T1562.001.
dpapi | `dpapi -action <decrypt\|masterkeys\|chrome-key> [-blob <base64>] [-entropy <base64>]` | **(Apenas Windows)** Descriptografia de blob DPAPI (CryptUnprotectData), enumeração de chaves mestre, extração de chave de criptografia Chrome/Edge. MITRE T1555.003/T1555.005.
email | `email -action <count\|search\|read\|folders> [-folder <name>] [-query <keyword>] [-index <n>]` | **(Apenas Windows)** Acessar caixa de correio do Outlook via COM. Contar mensagens, pesquisar por palavra-chave, ler por índice, listar pastas. MITRE T1114.001.
dcom | `dcom -action <exec\|upload\|exec-staged\|check> -host <target> -command <cmd> [-args <arguments>] [-object mmc20\|shellwindows\|shellbrowser\|wscript\|excel\|outlook]` | **(Apenas Windows)** Executar comandos, enviar arquivos ou preparar e executar em hosts remotos via DCOM. `check` valida pré-requisitos RPC/DCOM. upload: transferir arquivos via certutil/PowerShell staging. exec-staged: enviar e depois executar com limpeza automática. Seis objetos COM. MITRE T1021.003, T1570.
debug-detect | `debug-detect` | Detectar depuradores anexados, ferramentas de análise e instrumentação. Windows: IsDebuggerPresent, NtQueryInformationProcess, PEB, registradores DR. Linux: TracerPid, LD_PRELOAD, mapas de memória (Frida/Valgrind/sanitizers), VM/sandbox, monitoramento eBPF (Falco/Tetragon/Tracee), framework auditd, escopo ptrace. macOS: sysctl P_TRACED, DYLD_INSERT_LIBRARIES, detecção de VM (sysctl), produtos de segurança (EDR/AV), ambiente sandbox/análise. Todos: varredura de processos depuradores (T1497.001).
dcsync | `dcsync [-action sync\|domain-takeover] -server <DC> -username <user> [-password <pass>] [-hash <NT hash>] [-target <account[,account2]>]` | DCSync — replicar credenciais do AD via DRS sem tocar no LSASS. `domain-takeover` executa kerberoast + asrep-roast + dcsync krbtgt/Administrator em paralelo. Multiplataforma (T1003.006).
df | `df [-filesystem <device>] [-mount_point <path>] [-fstype <type>]` | Relatar uso de espaço em disco do sistema de arquivos com filtragem opcional por dispositivo, ponto de montagem ou tipo de sistema de arquivos. Multiplataforma (T1082).
diff | `diff -file1 <path> -file2 <path> [-context <n>]` | Comparar dois arquivos e mostrar diferenças no formato diff unificado. Algoritmo baseado em LCS com linhas de contexto configuráveis. Multiplataforma (T1083).
dns | `dns -action <resolve\|reverse\|srv\|mx\|ns\|txt\|cname\|all\|dc\|zone-transfer\|wildcard\|exfil\|doh> -target <host> [-server <dns_ip>]` | Enumeração DNS — resolver hosts, consultar registros, descobrir DCs, transferências de zona, detecção de wildcard, resolução furtiva via DNS-over-HTTPS, exfiltração DNS. Multiplataforma (T1018, T1071.004, T1048.001).
du | `du -path <file_or_dir> [-max_depth <n>]` | Relatar uso de disco para arquivos e diretórios. Detalhamento de tamanho por subdiretório, ordenado pelo maior. Multiplataforma (T1083).
drivers | `drivers [-filter <name>]` | Enumerar drivers/módulos do kernel carregados. Windows: EnumDeviceDrivers, Linux: /proc/modules, macOS: enumeração kext. Multiplataforma (T1082).
domain-policy | `domain-policy -action <all\|password\|lockout\|fgpp> -server <DC> -username <user@domain> -password <pass>` | Enumeração de política de senha/bloqueio do AD e FGPP via LDAP. Recomendações seguras para spray. Multiplataforma (T1201).
crontab | `crontab -action <list\|add\|remove> [-entry <cron_line>] [-program <path>] [-schedule <schedule>]` | **(Apenas Linux/macOS)** Listar, adicionar ou remover jobs cron para persistência. Suporta entradas cron brutas ou sintaxe programa+agenda.
download | `download <path>` ou `download {"path": "/file", "compress": true}` | Baixar um arquivo ou diretório do alvo. Arquivos >1MB são comprimidos automaticamente com gzip (configurável). Diretórios são zipados automaticamente. Verificação de hash SHA256. Transferência fragmentada, integração com navegador de arquivos.
drives | `drives` | Listar unidades/volumes disponíveis e sistemas de arquivos montados com tipo, rótulo/dispositivo e espaço livre/total.
enum-tokens | `enum-tokens [-action list\|unique] [-user <filter>]` | **(Apenas Windows)** Enumerar tokens de acesso em todos os processos. `list` mostra PID/usuário/integridade/sessão para cada processo. `unique` agrupa por usuário com contagens de processos. Habilita automaticamente SeDebugPrivilege (T1134, T1057).
encrypt | `encrypt -action <encrypt\|decrypt\|encrypt-files\|decrypt-files\|corrupt\|corrupt-files> -path <file_or_glob> [-key <base64key>] [-confirm SIMULATE\|CORRUPT]` | Criptografia/descriptografia AES-256-GCM (T1486) + corrupção direcionada de arquivos (T1565). corrupt: sobrescrever cabeçalhos de arquivo com dados aleatórios. Portões de segurança necessários para operações destrutivas.
env | `env [-action <list\|get\|set\|unset>] [-name <VAR>] [-value <val>] [-filter <pattern>]` | Listar, obter, definir ou remover variáveis de ambiente para o processo agente. Alterações são herdadas por processos filhos. Multiplataforma.
env-scan | `env-scan [-pid <PID>] [-filter <pattern>]` | Escanear variáveis de ambiente de processos em busca de credenciais vazadas, chaves de API e segredos. 35+ padrões de detecção em categorias de nuvem, banco de dados, CI/CD e criptomoedas. Linux + macOS (T1057, T1552.001).
etw | `etw -action <sessions\|rules\|agents\|patch\|restore\|blind-all\|...> [-session_name <name>] [-provider <guid\|shorthand>]` | **(Windows, Linux, macOS)** Manipulação de subsistema de auditoria/telemetria. Windows: parada de sessões/provedores ETW, blind/blind-all/habilitar/patch/restaurar. Linux: regras auditd, journald limpar/rotacionar, config syslog, detecção de agente SIEM. macOS: registro unificado, detecção de agente de segurança. (T1562, T1070.002).
eventlog | `eventlog -action <list\|query\|clear\|info\|enable\|disable> [-channel <name\|unit\|subsystem\|path>] [-event_id <id>] [-filter <xpath\|keyword\|timewindow>] [-count <max>]` | Gerenciar logs de eventos do sistema. Windows: canais wevtapi.dll. Linux: unidades journald e arquivos syslog. macOS: subsistemas/processos de Registro Unificado (os_log). Listar fontes, consultar eventos, limpar/vacuar logs, obter informações. MITRE T1070.001, T1562.002.
execute-memory | `execute-memory -arguments 'arg1 arg2' -timeout 60` | Executar um binário nativo da memória. Linux: memfd_create (sem gravação em disco). macOS: arquivo temporário com codesign ad-hoc. Windows: arquivo temporário com limpeza imediata. Todas as plataformas removem artefatos após a execução. MITRE T1620.
execute-shellcode | `execute-shellcode [-technique mmap\|memfd] [-encoding none\|xor\|aes] [-key hex]` | Executar shellcode no processo atual. Suporta shellcode codificado com XOR/AES-256-CTR com decodificação em tempo de execução (T1027). Windows: VirtualAlloc + CreateThread. Linux: mmap (padrão) ou memfd_create. macOS: MAP_JIT (ARM64) ou mmap. Multiplataforma (T1059.006, T1620).
exit | `exit` | Tarefa para encerrar o agente.
file-attr | `file-attr -path <file> [-attrs "+hidden,-readonly,+immutable"]` | Obter ou definir atributos de arquivo — oculto, somente leitura, sistema (Windows); imutável, append, nodump (Linux); oculto, imutável (macOS). Omita -attrs para visualizar flags atuais. Multiplataforma (T1564.001, T1222).
file-type | `file-type -path <file_or_dir> [-recursive true] [-max_files 100]` | Identificar tipos de arquivo por bytes mágicos (35+ assinaturas). Arquivo único ou varredura de diretório. Detecta executáveis, arquivos, documentos, imagens, bancos de dados, mídia e mais. Multiplataforma (T1083).
find | `find -pattern <glob> [-path <dir>] [-min_size <bytes>] [-max_size <bytes>] [-newer <min>] [-older <min>] [-type f\|d] [-perm suid\|sgid\|writable\|executable\|<octal>] [-owner <user\|uid>]` | Pesquisar arquivos por nome, tamanho, data, permissões ou proprietário. Encontrar binários SUID, arquivos graváveis por todos, arquivos de propriedade de usuários específicos. Multiplataforma (T1083).
find-admin | `find-admin -hosts <targets> -username <user> -password <pass> [-method smb\|winrm\|both] [-hash <NT>] [-action scan\|auto-move] [-lateral_method psexec\|wmi] [-lateral_command <cmd>]` | Percorrer hosts para descobrir onde as credenciais têm acesso de administrador via SMB (compartilhamento C$) e/ou WinRM. **auto-move**: cadeia de subtarefas automatizada — encontrar hosts admin e depois mover lateralmente para cada um via psexec/wmi. Suporta CIDR, faixas de IP, PTH, varredura paralela (T1021.002, T1021.006).
firewall | `firewall -action <list\|add\|delete\|enable\|disable\|status\|pf-add\|pf-delete\|pf-list> [-name <rule>] [-direction <in\|out>] [-protocol <tcp\|udp\|any>] [-port <port>]` | **(Windows, macOS, Linux)** Gerenciar regras de firewall. Windows: API COM. macOS: ALF + regras pf ancoradas. Linux: iptables/nftables (detecção automática). Suporte a âncora PF para filtragem de pacotes macOS. MITRE T1562.004.
getprivs | `getprivs -action list\|enable\|disable\|strip [-privilege <name>]` | **(Windows, macOS, Linux)** Listar privilégios/capacidades. Windows: privilégios de token com habilitar/desabilitar/remover. Linux: capacidades do processo (CapEff/CapPrm) + contexto SELinux/AppArmor. macOS: entitlements, sandbox, grupos (T1134.002).
getsystem | `getsystem [-technique steal\|potato\|check\|sudo\|osascript]` | **(Windows, Linux, macOS)** Escalonamento de privilégio. Windows: SYSTEM via roubo de token ou potato DCOM. Linux: verificar vetores de escalonamento (SUID, sudo, capacidades, docker) ou tentar elevação sudo. macOS: verificar vetores, sudo ou prompt admin osascript (T1134, T1548).
gpp-password | `gpp-password -server <DC> -username <user@domain> -password <pass>` | Pesquisar SYSVOL por arquivos XML GPP com atributos cpassword criptografados e descriptografar usando a chave AES publicada (MS14-025). Multiplataforma via SMB (T1552.006).
gpo | `gpo -action <list\|links\|find\|all> -server <DC> -username <user@domain> -password <pass> [-filter <name>]` | Enumerar Objetos de Política de Grupo via LDAP — listar GPOs, mapear links com imposição, encontrar configurações CSE interessantes. Multiplataforma (T1615).
grep | `grep -pattern <regex> [-path <dir>] [-extensions .txt,.xml] [-ignore_case] [-max_results 100]` | Pesquisar conteúdo de arquivos por padrões regex. Pesquisa recursiva de diretório com filtragem de extensão, linhas de contexto e pulo de arquivos binários. Multiplataforma (T1083, T1552.001).
hash | `hash -path <file_or_dir> [-algorithm md5\|sha1\|sha256\|sha512] [-recursive true] [-pattern *.exe] [-max_files 500]` | Calcular hashes de arquivos (MD5, SHA-1, SHA-256, SHA-512). Arquivos únicos ou diretórios com filtragem de padrão glob e controle de profundidade. Multiplataforma (T1083).
hexdump | `hexdump -path <file> [-offset <bytes>] [-length <bytes>]` | Exibir conteúdo de arquivo no formato hex+ASCII estilo xxd. Controle de deslocamento/comprimento para examinar regiões específicas, máximo 4096 bytes. Multiplataforma (T1005).
handles | `handles -pid <pid> [-type File] [-show_names] [-max_count 500]` | **(Windows, Linux, macOS)** Enumerar handles abertos/descritores de arquivo em um processo. Windows: NtQuerySystemInformation. Linux: /proc/pid/fd. macOS: lsof (T1057, T1082).
hashdump | `hashdump [-action dump\|insitu\|insitu-full\|tickets\|auto-spray] [-targets <hosts>] [-format json]` | **(Windows, Linux, macOS)** Extrair hashes de senha de conta local. Windows: hashes NTLM do registro SAM (requer SYSTEM); **insitu**: enumerar sessões de logon ativas via APIs LSA em processo (requer admin); **insitu-full**: abrir lsass.exe com PROCESS_VM_READ, varrer sigs de lsasrv.dll em busca de LogonSessionList, percorrer a lista encadeada, sobrepor o layout KIWI_MSV1_0_LIST_63 em cada nó para analisar LUID/UserName/Domain/AuthPackage/LogonType/Credentials-pointer, percorrer a cadeia de credenciais por pacote de autenticação em credentials_ptr para capturar cada envelope KIWI_MSV1_0_PRIMARY_CREDENTIAL_ENC, varrer sigs de LsaInitializeProtectedMemory_Internal para recuperar os globais BCrypt de IV / h3DesKey / hAesKey mais os bytes brutos de IV 16 bytes / 3DES 24 bytes / AES 32 bytes, descriptografar AES-256-CFB / 3DES-CBC de cada blob de texto cifrado capturado (selecionado por blob usando `len % 8`), e sobrepor o layout KIWI_MSV1_0_PRIMARY_CREDENTIAL_10_NEW para extrair hashes NT/LM/SHA — emitido no formato `username:rid:lm:nt:::` compatível com o hook do vault de credenciais do ProcessResponse dump-action (Fase 2B + 2C-i + 2C-ii-a + 2C-ii-b + 2C-ii-c, Win10 21H2 — Win11 23H2, requer admin). Linux: hashes /etc/shadow com identificação de tipo de hash (requer root). macOS: hashes PBKDF2 dos Serviços de Diretório a partir de plists de usuário (requer root). **auto-spray**: despejar hashes e depois pulverizá-los automaticamente via cred-check contra hosts alvo. MITRE T1003.002, T1003.008.
history-scrub | `history-scrub [-action list\|clear\|clear-all] [-user <username>]` | Listar ou limpar arquivos de histórico de comandos de shell/aplicativo. Abrange bash, zsh, fish, PowerShell, python, mysql e mais. Multiplataforma (T1070.003).
hollow | `hollow -filename <shellcode> [-target <process>] [-ppid <pid>] [-block_dlls true]` | Oco de processo — criar processo suspenso, escrever shellcode, redirecionar execução. **Windows:** CREATE_SUSPENDED + SetThreadContext, falsificação de PPID, bloqueio de DLL, decoração de PEB (mascaramento de ImagePath/CommandLine/WindowTitle). **Linux (amd64/arm64):** PTRACE_TRACEME + escrita em /proc/mem. **macOS:** ptrace + APIs Mach VM (task_for_pid, mach_vm_allocate, mach_vm_write, mach_vm_protect) — requer root. MITRE T1055.012, T1036.
ide-recon | `ide-recon -action <vscode\|jetbrains\|all> [-user <filter>]` | Enumerar configurações de IDE — extensões VS Code, hosts SSH remotos, projetos recentes, configurações com segredos. Fontes de dados JetBrains, servidores de implantação, projetos recentes. Multiplataforma (T1005, T1083).
ifconfig | `ifconfig` | Listar interfaces de rede com endereços, MAC, MTU e flags. Multiplataforma (Windows/Linux/macOS).
inline-assembly | `inline-assembly` | **(Apenas Windows)** Executar um assembly .NET na memória usando o CLR. Suporta argumentos de linha de comando. Use `start-clr` primeiro para fluxo de patching AMSI.
inline-execute | `inline-execute` | **(Apenas Windows)** Executar um Beacon Object File (BOF/COFF) na memória. Suporta todos os tipos de argumento: strings (z), strings largas (Z), inteiros (i), shorts (s) e binário (b).
reflective-load | `reflective-load -dll_b64 <base64_dll> [-function <export>]` | **(Apenas Windows)** Carregar um PE nativo (DLL) da memória no processo atual. Mapeamento manual de PE com cópia de seções, correções de realocação, resolução de importação e invocação de DllMain. Opcionalmente chamar funções exportadas (T1620).
iptables | `iptables -action <status\|rules\|nat\|add\|delete\|flush> [-rule <args>] [-table <name>]` | **(Apenas Linux)** Enumeração e gerenciamento de firewall Linux via iptables/nftables/ufw. Encaminhamento IP, rastreamento de conexão, listagem e modificação de regras. MITRE T1562.004.
jobkill | `jobkill -id <task-uuid>` | Parar uma tarefa em execução pelo ID da tarefa. Use `jobs` para listar tarefas em execução. Multiplataforma.
jobs | `jobs` | Listar tarefas atualmente em execução com ID da tarefa, nome do comando e duração. Multiplataforma.
jxa | `jxa -code '<script>' [-timeout 60]` ou `jxa -file /path/to/script.js` | **(Apenas macOS)** Executar scripts JavaScript for Automation (JXA) com acesso à ponte ObjC para frameworks Foundation, AppKit, Security. Suporta código inline e entrada de arquivo (T1059.007).
kerberoast | `kerberoast -server <DC> -username <user@domain> -password <pass> [-spn <SPN>]` | Solicitar tickets TGS para contas SPN e extrair hashes no formato hashcat para quebra offline. Auto-enumera via LDAP. Multiplataforma (T1558.003).
klist | `klist -action <list\|purge\|dump\|import> [-server <filter>] [-ticket <base64>] [-path <path>]` | Enumerar, despejar, limpar e importar tickets Kerberos. Importar habilita Pass-the-Ticket: Windows injeta kirbi via LSA, Linux/macOS escreve ccache + define KRB5CCNAME. Multiplataforma (T1558, T1550.003).
keychain | `keychain -action <list\|dump\|find-password\|find-internet\|find-cert> [-service <name>] [-server <host>]` | **(Apenas macOS)** Acessar o Keychain do macOS — listar keychains, despejar metadados, encontrar senhas genéricas/internet, enumerar certificados.
kerb-delegation | `kerb-delegation -action <all\|unconstrained\|constrained\|rbcd\|monitor> -server <DC> -username <user@domain> -password <pass> [-duration <s>] [-interval <s>]` | Enumerar relacionamentos de delegação Kerberos — não restrita, restrita (com transição de protocolo), RBCD. Ação **monitor** (Windows/SYSTEM apenas) consulta LSA em busca de TGTs recebidos e exporta como blobs kirbi. Multiplataforma exceto monitor (T1550.003, T1558).
keylog | `keylog -action <start\|stop\|dump\|status\|clear>` | Registrador de teclado de baixo nível. Windows: SetWindowsHookEx. Linux: /dev/input evdev. macOS: IOKit HID. Detecta eventos de colagem Ctrl+V/Cmd+V e captura conteúdo da área de transferência. Rastreamento de contexto de janela em todas as plataformas (T1056.001).
lateral-check | `lateral-check -hosts <IPs/CIDRs> [-timeout <seconds>]` | Testar opções de movimento lateral contra alvos — verifica conectividade SMB, WinRM, RDP, RPC, SSH e sugere métodos aplicáveis. Multiplataforma (T1046, T1021).
```
---
[Read more](https://github.com/galoryber/fawkes)