Chimera

Эмуляция оборудования и атаки через физический доступ

Зачем

Снаряжение Hak5 тяжёлое и заметное. В моём телефоне есть полноценное ядро Linux, поэтому я заставил его делать ту же работу — эмуляцию HID, RNDIS, mass storage, всё сразу — напрямую через ConfigFS. Никакого дополнительного железа. Никаких торчащих из сумки кабелей.

Подключаешься к цели, выбираешь payload, запускаешь. Нажатия клавиш идут прямо в /dev/hidg0. Ничего между ними.

Что это делает

• Raw HID через ConfigFS — полностью обходит USB-стек Android и пишет байты напрямую в /dev/hidg0. Быстро, и большинство EDR видят его как обычную клавиатуру.
• DuckyScript на устройстве — пишите и запускайте payload'ы во встроенном редакторе. Ноутбук не нужен, компилятор запускает прерывания на месте.
• Библиотека payload'ов — импортируйте .txt-файлы из локального хранилища или тяните их прямо из репозитория сообщества Hak5 внутри приложения.
• Внеполосный C2 через RNDIS — телефон представляется USB-адаптером Ethernet (usb0) и запускает крошечный веб-сервер для смены payload'ов или проверки статуса с другой машины. Windows подхватывает его автоматически. macOS капризничает с составными USB-подписями, честно предупреждаю.
• BLE HID как запасной вариант — USB-порт заблокирован? Переключайтесь на Bluetooth и отправляйте нажатия клавиш через L2CAP.
• Спуфинг mass storage — сопоставляет .bin или .img с usb_f_mass_storage. Телефон определяется на цели как флешка.

Стек

Kotlin на фронтенде, C++ для всего, что касается железа.

• UI — Jetpack Compose
• Coroutines — не даёт I/O символьных устройств попадать в главный поток
• JNI — C++ читает sysfs напрямую, чтобы понять, что реально скомпилировано в ядре

Установка

Требуется root. Это жёсткое условие.

1. Magisk, KernelSU, APatch — неважно, какой.
2. Ядро должно содержать CONFIG_USB_CONFIGFS и CONFIG_USB_CONFIGFS_F_HID. В стоковых ядрах их обычно нет. Если в вашем нет — ставьте NetHunter.
3. Android 11+ для BLE HID.

BT HID стабильно работает на большинстве устройств. Проводной ConfigFS — другая история: всё зависит от того, что ваш OEM оставил в ядре. Если у вас заработало на чём-то необычном (старый Pixel, OnePlus, что угодно), вставьте вывод dmesg во вкладке Issues. Пытаюсь собрать список совместимости.

Сборка

git clone https://github.com/cipher-attack/chimera.git
cd chimera
# Set NDK path in local.properties first or the JNI build will fail immediately
./gradlew assembleDebug

Заметки по OpSec

• Цели нужно секунда-другая, чтобы смонтировать драйвер HID после подключения. Начнёте слать нажатия слишком рано — они пропадут. Вставляйте DELAY 1000 в начало каждого payload'а.
• Режим Doze убивает фоновые корутины, когда экран гаснет. Зайдите в настройки батареи и исключите Chimera, иначе C2 оборвётся на середине работы.

Документация

DOCUMENTATION.md подробно описывает JNI-мост и настройку составного USB. Прочитайте CONTRIBUTING.md и CODE_OF_CONDUCT.md перед открытием PR.

Скачать

• Release APK — без отладочной информации, для реального использования
• Debug APK — подробные логи, используйте, когда payload'ы ConfigFS не работают

Контакты

• Telegram
• GitHub
• [email protected]

Отказ от ответственности: Создано для авторизованных работ red team и физической безопасности. Получите письменное разрешение, прежде чем подключаться к чему-либо.