jm33-m0/emp3r0rMalha de Gossip C2 com Autocura e Descoberta Assistida de Pares, Execução BOF Multiplataforma e Agentes Programáveis.
Um C2 auto-recuperável, somente em memória, para Linux e Windows — agentes que sobrevivem a links quebrados, nunca tocam o disco e fazem script através da API Win32.
emp3r0r é um framework de pós-exploração e C2 construído para ambientes Linux e Windows onde stealth e resiliência não são opcionais. Em vez de assumir uma conexão confiável de volta a um servidor, os agentes formam uma malha auto-recuperável que continua funcionando quando os links quebram. Em vez de pedir Python ou PowerShell ao alvo, eles executam tudo em memória. E em vez de limitá-lo aos truques de uma única plataforma, o emp3r0r executa BOFs do Windows, objetos Linux e scripts Starlark — tudo sem arquivos, tudo em processo.
Cada agente carrega seu próprio motor de scripting, então você pode adicionar nova lógica de pós-exploração sem compilar ou enviar binários.
Por que isso importa: escrever e estender a funcionalidade do agente torna-se tão simples quanto editar um script, sem nenhum dos vestígios de deixar um interpretador ou um novo binário no alvo.
Os agentes vinculam sua identidade a uma chave criptográfica na primeira vez que falam com você — e esse vínculo nunca muda.
Por que isso importa: sequestro de sessão e clonagem de agente simplesmente não acontecem; cada agente com quem você fala é aquele que você registrou.
Cada link C2 e de peer usa chaves ECDH efêmeras com chaves de criptografia derivadas da sessão.
Por que isso importa: mesmo que uma chave de longo prazo seja comprometida depois, ela não pode ser usada para descriptografar tráfego que já passou.
Os agentes se descobrem e retransmitem tráfego através de uma malha de gossip, então a operação não entra em colapso quando um link ou um servidor desaparece.
Por que isso importa: a rede faz o pivoting por você. Corte um link, perca uma máquina ou bloqueie o C2 — os agentes se redirecionam sozinhos.
Arquivos se movem entre agentes diretamente, não apenas através do C2.
Por que isso importa: a entrega é rápida e quase invisível ao canal C2 — ideal para ambientes com restrição de saída.
Conseguir um agente dentro é tratado com a mesma seriedade que mantê-lo vivo.
Por que isso importa: acesso inicial pequeno, adaptável e higiênico em memória significa que você pode aterrissar em hosts que de outra forma estariam fora de alcance.
Execute módulos C compilados em processo em qualquer plataforma:
Por que isso importa: BOFs são tão bons quanto seu loader — o emp3r0r os executa em processo sem novo processo e sem deixar rastro, tanto no Linux quanto no Windows.
Uma vez que você está em um host Windows, o emp3r0r permite que você se torne os usuários nele — sem nunca deixar uma ferramenta.
--user de um módulo: elas mantêm a identidade do seu próprio agente e apenas tomam emprestada a do usuário alvo para acesso de saída — qualquer senha funciona, nada é jamais validado.--ticket para pass-the-ticket completo: sua identidade de rede se torna a do ticket (digamos, o Domain Admin) enquanto sua identidade local nunca muda.--token, --user e --ticket, então trocar de identidade está a uma flag de distância — incluindo criar uma sessão e carregar um ticket em um único comando.Por que isso importa: movimento lateral para máquinas que não executam nenhum agente — compartilhamentos SMB, controle de serviço, CIFS — torna-se uma parte normal do seu fluxo de trabalho, autenticado como o usuário que você tomou emprestado, não como uma ferramenta em disco.
Faça pivoting sem queimar outro implant: o C2 executa um proxy SOCKS5 que retransmite através do agente que você selecionar, e o lado do operador pode ir um passo além com um dispositivo TUN transparente.