🛡️ BitLock Framework: Экосистема криптовирологии и C2 (PoC)

Этот репозиторий содержит комплексную Proof of Concept (PoC), предназначенную для изучения современных архитектур угроз. Проект имитирует бесфайловую (fileless) среду атаки с инфраструктурой командования и управления (C2), защищенной криптографией на эллиптических кривых и протоколами безопасного удаления.

🔬 Анализ жизненного цикла атаки

Система работает посредством скоординированного выполнения трех основных модулей, предназначенных для обхода традиционных защит и обеспечения сохранности ключей на сервере.

1. Непостоянная инфильтрация (load.py)

Атака начинается с Stager этапа 0. Его основная функция — обход EDR (Endpoint Detection and Response):

• Эфемерное рукопожатие: Генерирует уникальный ключ AES-256 в ОЗУ и передает его на порт 5001.
• Шифрование полезной нагрузки: Сервер шифрует ransomware в реальном времени перед отправкой, препятствуя проверке пакетов по статическим сигнатурам.
• Выполнение в памяти: Полезная нагрузка расшифровывается и компилируется в байт-код непосредственно в оперативной памяти.
• Анти-криминалистика: Реализует secure_wipe для уничтожения ключа и исходного кода в открытом виде перед вызовом exec().

2. Установка канала C2 (BitLockC2Server.py)

Сервер работает как защищенное хранилище для управления криптографическими активами:

• Укрепление хранилища: База данных ключей использует шифрование AES-256-GCM с выводом PBKDF2 (480 000 итераций).
• Физическая безопасность: Команда --del запускает алгоритм измельчения данных (data shredding), который перезаписывает файлы случайным мусором и использует os.fsync() для гарантированной очистки аппаратного буфера.

3. Движок шифрования цели (BitLock-client.py)

Внедренный модуль выполняет шифрование файлов по военным стандартам:

• Гибридное рукопожатие: Реализует ECDHE (кривая P-384) для обеспечения Perfect Forward Secrecy (PFS). Имеет автоматический откат на RSA-4096, если библиотеки эллиптических кривых недоступны.
• Аутентифицированное шифрование: Использует AES-GCM, чтобы гарантировать, что файлы не могут быть изменены или восстановлены без оригинальной подписи целостности.
• Интеллектуальное уклонение: Пропускает критические системные каталоги (Windows, /bin/, /etc/), чтобы избежать краха операционной системы и обеспечить видимость отчета о результатах.

📊 Схема потока данных (Data Pipeline)

graph TD
    A[Cliente: Ejecuta load.py] -->|1. Envía Clave Efímera| B(Servidor C2: Puerto 5001)
    B -->|2. Envía Payload Cifrado| A
    A -->|3. Descifra y Ejecuta en RAM| C[BitLock-Payload]
    C -->|4. Intercambio ECDHE| D(Servidor C2: Puerto 5000)
    D -->|5. Almacena Llave en Bóveda| E[(DB Cifrada PBKDF2)]
    C -->|6. Cifrado AES-GCM| F[Archivos .locked]
    C -->|7. Auto-destrucción| G[Proceso Finalizado]

⚙️ Технические характеристики безопасности

⚠️ Отказ от ответственности (Ethical Hacking)

Данный проект предназначен строго для образовательных и исследовательских целей.

1. Использование этого инструмента в системах без предварительного разрешения является незаконным и представляет собой компьютерное преступление.
2. Автор не несет ответственности за ущерб инфраструктуре пользователя или третьих лиц.
3. Если пользователь заблокирует свою собственную систему из-за ошибки конфигурации, он принимает на себя полную техническую и финансовую ответственность за восстановление своих данных.

Разработано для исследования наступательной безопасности и защиты критической инфраструктуры.