gopher47

Сторонний Gopher Assassin для фреймворка Havoc

_{это как видеоигра :D}

Что это такое? 🤔

Это сторонний агент для Havoc C2, написанный на Golang. В основном написан как учебный проект, но я уверен, что он всё равно полезен.

К тому времени, как это выйдет, вы сможете прочитать больше о том, что это и почему, в моём блоге: здесь

Вклад приветствуется! Я не планирую обновлять это слишком регулярно, но если мне будет весело это делать, со временем могу добавить что-то ещё.

Команды

Использование

Как только ваш teamserver запущен, всё просто — выполните следующее:

• Атакующая машина: python handler.py
• Целевая машина: ./gopher47

Вы можете использовать GUI Havoc для компиляции или просто редактировать исходный код как угодно и играться с Makefile — кода там не так много.

Известные проблемы

• Некорректное имя ОС в клиенте — Начиная с 1/1/24 Havoc был реструктурирован и стал более требователен к тому, как получает версию ОС. Всё ещё в разработке, но сейчас он просто напросто не поддерживает Linux. Текущее исправление просто создаёт фейковый номер версии, который хотя бы позволяет импланту работать, но мне нужно кое-что переписать.
• Отсутствующая информация — по большей части, если честно, дело в лени; я и не думал, что вернусь к этому.

Частые вопросы

Почему Go?

Мне просто хотелось собрать настоящий проект на Golang, на который я могу указать. Но ещё Golang отлично подходит для кросс-компиляции, у него хорошая экосистема разработки, и на нём писать гораздо проще, чем на C/C++.

Будет ли он обходить AV/EDR?

хз, но повзрослей. Обфусцируй и настраивай его сам, хватит быть младенцем.

Почему бинарник такой большой?

Golang, как и Rust и другие языки, компилируется статически, то есть все библиотеки, необходимые для запуска исполняемого файла, вшиты в бинарник, что увеличивает его размер. Если хотите уменьшить размер, я не буду делать это по умолчанию, но загляните по этой ссылке для советов. ОБНОВЛЕНИЕ: я добавил опцию, которая делает часть этого, но я уверен, что вы можете добавить больше кастомизации :/

Безопасно ли это с точки зрения OPSEC?

Плохой вопрос. Если вы прочитаете код, вы найдёте ряд вещей, которые не идеальны. Если бы вы действительно беспокоились об OPSEC, вы бы уже начали читать код и вносить исправления там, где это нужно.

Можно ли запускать несколько Gopher?

Пока нет. Текущий API Havoc позволяет обрабатывать только один handler одним агентом, и на самом деле нет хорошего, чистого способа запустить несколько одновременно. Реворки в процессе, но пока может быть только один Gopher47.

Зашифрована ли связь?

Нет. Начиная с версии 0.4 Havoc, нет способа выполнить безопасный обмен ключами без прямой компрометации ключей. Как только система будет переработана в интерфейсе havoc-py, я это сделаю. ПОЭТОМУ ЭТО НЕБЕЗОПАСНО С ТОЧКИ ЗРЕНИЯ OPSEC _{пожалуйста, не будьте глупыми и не используйте это в реальных операциях; для CTF/лабораторий — норм}

HTTPS обеспечит шифрование, но используйте на свой страх и риск.

Как у тебя дела?

Я в 1:00 ночи фотошопил пистолет в лапу гофера Golang ради этого.

Благодарности/Ссылки/Связанные работы

• C5pider и всю команду Havoc Framework за то, что мне не пришлось писать собственный C2, чтобы заниматься разработкой имплантов
• Sliver и Merlin за то, что были первопроходцами (или по крайней мере новаторами) в области Offensive Golang
• SharpAgent и PyHmmm были отличным материалом для кражи справочным материалом
• OffensiveGolang содержит несколько классных работ по Offensive Go
• Форк Ne0nd0g от go-clr
• maldev-for-dummies также хорошая отправная точка для работы с вредоносами не на C Я определённо кого-то упустил, но попробовать стоит o7

Отказ от ответственности

Невозможно создать исследовательский инструмент, значимый для наступательной безопасности, и выпустить его в открытый доступ без возможности попадания в чужие руки. Этот инструмент предназначен только для законных и этических целей, включая, помимо прочего, исследования, оценку безопасности и обучение.

TL;DR: Оставайтесь в рамках закона, народ.