Профиль Telegram C2 для Mythic

Telegram предоставляет профиль Mythic C2 для агентов Athena и Apollo. Он использует приватные сообщения Telegram между ботами как транспорт, а сервис Push C2 gRPC Mythic — как мост контроллера.

Архитектура

Athena or Apollo agent bot <-> Telegram Bot API <-> controller bot <-> Telegram C2 service <-> Mythic

Каждый запущенный агент использует собственный токен Bot API. Сервис C2 использует один токен бота-контроллера. У обоих ботов должен быть включён режим Bot-to-Bot Communication Mode в Telegram.

Сообщения используют небольшой JSON-конверт и разбиваются на фрагменты по 2 800 символов перед отправкой через sendMessage. Полезные нагрузки агента сохраняют своё шифрование aes256_hmac; сервис Telegram пересылает зашифрованные сообщения Mythic без их расшифровки.

Требования

Mythic 3
Один поддерживаемый форк агента с транспортом Telegram:
- Athena
- Apollo
Один бот-контроллер Telegram
Один бот Telegram для каждого одновременно запущенного экземпляра полезной нагрузки

Установка

Выполните эту команду из каталога Mythic:

./mythic-cli install github https://github.com/DavidCarliez/mythic_telegram_profile

Для локальной разработки установите вместо этого локальную копию:

./mythic-cli install folder /path/to/telegram -f

Установите один из поддерживаемых форков агента в том же развёртывании Mythic:

# Athena
./mythic-cli install github https://github.com/DavidCarliez/Athena -b telegram-c2

# Apollo
./mythic-cli install github https://github.com/DavidCarliez/Apollo -b telegram-c2

Настройка Telegram

Используйте @BotFather, чтобы создать бота-контроллера.
Создайте отдельного бота для каждого экземпляра полезной нагрузки, который будет запущен одновременно.
Включите Bot-to-Bot Communication Mode для бота-контроллера и каждого бота агента.
Запишите токен и имя пользователя бота-контроллера.
Запишите токен каждого бота агента. Не используйте один токен повторно для одновременных полезных нагрузок, поскольку потребители getUpdates совместно используют одну очередь обновлений.

Приватные сообщения между ботами требуют включения режима коммуникации у обоих ботов. Telegram описывает это требование в своём руководстве Bot-to-Bot Communication.

Настройка сервиса C2

В Mythic откройте C2 Profiles, разверните действия для telegram и выберите View/Edit Config. Установите:

Ключ	Значение
`botToken`	Токен бота-контроллера от BotFather
`apiBase`	`https://api.telegram.org`, если не используется совместимый локальный сервер Bot API
`pollTimeout`	Тайм-аут длинного опроса от 1 до 50 секунд
`mythicGrpc`	Конечная точка Mythic Push C2 gRPC; оставьте предоставленное значение для обычного развёртывания Mythic

Сохраните конфигурацию, затем запустите профиль.

Сборка полезной нагрузки

Выберите профиль C2 telegram при сборке Athena или Apollo и укажите:

Параметр	Описание
`bot_token`	Токен для выделенного бота агента полезной нагрузки
`controller_bot`	Имя пользователя бота-контроллера, с `@` или без него
`api_base`	Базовый URL Telegram Bot API
`message_checks`	Максимальное число длинных опросов в ожидании каждого ответа контроллера
`time_between_checks`	Тайм-аут длинного опроса в секундах
`callback_interval`	Интервал обратного вызова агента в секундах
`callback_jitter`	Процент джиттера обратного вызова агента
`AESPSK`	Шифрование сообщений `aes256_hmac`
`user_agent`	HTTP User-Agent, отправляемый в Telegram
`proxy_*`	Необязательные настройки HTTP-прокси
`killdate`	Дата истечения срока действия полезной нагрузки

Операционные ограничения

Токен Bot API — это bearer-учётные данные. Ограничьте доступ и отзовите его через BotFather после использования.
Токен агента встроен в полезную нагрузку. Считайте извлечённую полезную нагрузку скомпрометированным токеном.
Транспорт Telegram не имеет сквозного шифрования. Оставляйте AESPSK включённым.
Telegram сохраняет метаданные сообщений и может сохранять содержимое сообщений в соответствии со своими политиками обслуживания.
Этот профиль использует длинный опрос, а не вебхуки.
Один токен бота не должен использоваться совместно одновременными экземплярами агентов. Их вызовы getUpdates будут поглощать ответы друг друга.
Контроллер принимает только созданные ботами версионированные транспортные конверты. Шифрование Mythic по-прежнему обеспечивает аутентификацию и конфиденциальность сообщений.
Запросы агента остаются в ожидании, пока не поступит коррелированный ответ контроллера. Повторные запросы используют тот же идентификатор запроса, а контроллер воспроизводит кэшированные ответы, не пересылая дублирующий трафик в Mythic.
Mythic может отправлять задачи, когда ни один запрос агента не ожидается. Контроллер ставит эти задачи в очередь и коррелирует их со следующим обменом с агентом, а не отбрасывает их.
Контроллер сообщает о маршруте как об отключённом после трёх пропущенных интервалов обратного вызова с максимальным джиттером плюс 30 секунд, с минимальным тайм-аутом 60 секунд.

Формат передачи

Каждое текстовое сообщение Telegram содержит объект JSON со следующими полями:

v: версия протокола, в настоящее время 1
sender_id: случайный идентификатор маршрута, сгенерированный процессом агента
client_id: идентификатор маршрута ответа
to_server: флаг направления
packet_id: идентификатор набора фрагментов
reply_to: идентификатор запроса, подтверждённый ответом контроллера
sleep: текущий интервал обратного вызова агента в секундах
jitter: текущий процент джиттера обратного вызова агента
chunk: индекс фрагмента, начиная с нуля
chunks: общее количество фрагментов, ограничено 256
message: фрагмент зашифрованного сообщения Mythic

Незавершённые наборы фрагментов истекают через десять минут.

mythic_telegram_profile

Популярное