Nimbo-C2

• Nimbo-C2
• Sobre
• Recursos
• Instalação
  • Maneira Fácil
  • Maneira Mais Fácil
• Uso
• Limitações, Avisos, Notas
• Contribuição

Sobre

Nimbo-C2 é mais uma estrutura C2 (simples e leve).

O agente do Nimbo-C2 suporta Windows e Linux x64. É escrito em Nim, com algum uso de .NET no Windows (carregando dinamicamente o CLR no processo). Nim é poderoso, mas interagir com o Windows é muito mais fácil e robusto usando Powershell, daí essa combinação é feita. O agente Linux é mais enxuto e capaz apenas de comandos básicos, incluindo carregamento de ELF usando a técnica memfd.

Todos os componentes do servidor são escritos em Python:

• Ouvinte HTTP que gerencia os agentes.
• Construtor que gera os payloads dos agentes.
• Nimbo-C2 é o componente C2 interativo que reina sobre todos!

Meu trabalho não seria possível sem o grande trabalho anterior feito por outros, listados nos créditos.

Recursos

• Construir payloads EXE, DLL, ELF.
• Configuração do implante e strings criptografadas usando NimProtect.
• Empacotamento de payloads usando UPX e ofuscação dos nomes das seções PE (UPX0, UPX1) para dificultar a detecção e descompactação.
• Comunicação HTTP criptografada (AES em modo CBC, chave embutida no agente e configurável pelo config.jsonc).
• Autocompletar no Console C2 para interação conveniente.
• Comandos de Arquivo e Registro.
• Execução de comandos Powershell em memória.
• Comandos de download e upload de arquivos.
• Comandos de descoberta embutidos.
• Captura de tela, roubo de área de transferência, gravação de áudio e keylogger.
• Correção de ETW e AMSI usando syscalls indiretas.
• Extração de hashes LSASS e SAM.
• Injeção de shellcode usando syscalls indiretas.
• Execução de assemblies .NET inline.
• Capacidades de persistência.
• Métodos de bypass de UAC.
• Impersonação de token e getsystem.
• Definir o processo do implante como crítico (BSOD na terminação).
• (Linux) Carregamento de ELF usando memfd em 2 modos.
• E mais!

Instalação

Aviso: Nimbo-C2 deve ser executado apenas dentro do container Docker fornecido

Maneira Fácil

Observe que instalar desta forma pode causar problemas ou incompatibilidade no futuro, pois a imagem Docker atualmente não impõe versões de linguagens e bibliotecas, então considere pular para o próximo método.

1. Clone o repositório e entre com cd

git clone https://github.com/itaymigdal/Nimbo-C2
cd Nimbo-C2

2. Construa a imagem Docker

docker build -t nimbo-dependencies .

3. Entre novamente nos arquivos de origem com cd e execute a imagem Docker interativamente, exponha a porta 80 e monte o diretório Nimbo-C2 no container (para que você possa acessar facilmente todos os arquivos do projeto, modificar config.jsonc, baixar e enviar arquivos dos agentes, etc.). Para Linux, substitua ${pwd} por $(pwd).

cd Nimbo-C2
docker run -it --rm -p 80:80 -v ${pwd}:/Nimbo-C2 -w /Nimbo-C2 nimbo-dependencies

Maneira Mais Fácil

Aqui estamos usando a imagem Docker já construída, testada e armazenada - recomendado.

git clone https://github.com/itaymigdal/Nimbo-C2
cd Nimbo-C2/Nimbo-C2
docker run -it --rm -p 80:80 -v ${pwd}:/Nimbo-C2 -w /Nimbo-C2 itaymigdal/nimbo-dependencies

Para Linux, substitua ${pwd} por $(pwd).

Uso

Primeiro, edite config.jsonc conforme suas necessidades.

Então execute com: python3 Nimbo-C2.py

Use o comando help para cada tela e o preenchimento com tab.

Limitações, Avisos, Notas

• Embora a comunicação HTTP seja criptografada, o cabeçalho 'user-agent' está em texto puro e carrega o ID real do agente, o que alguns produtos podem marcar como suspeito.
• Coloque caminhos ou argumentos com espaços entre aspas duplas.
• O CLR funciona com o token de acesso primário, então impersonate/getsys não afetam iex/assembly.
• Os comandos audio, lsass (exceto o método Evil Lsass Twin) salvam temporariamente artefatos em disco antes de exfiltrar e deletá-los.
• Se você fizer túnel do servidor Nimbo (por exemplo, se expô-lo via Pinggy), use TCP, não HTTP.

Contribuição

Este software pode ser instável ou conter bugs em alguns casos de uso, pois não está sendo totalmente e constantemente testado. Sinta-se à vontade para abrir issues, PRs e entrar em contato comigo por qualquer motivo em (Gmail | Linkedin)