Lockjaw — продвинутый C2-фреймворк для Windows (v0.2.15)

Lockjaw — это продвинутый модульный фреймворк командования и управления (C2), разработанный для задач red team, симуляции действий противника и скрытных операций. Он использует современную архитектуру с разделением по языкам: высоконагруженный Rust-тимсервер в связке с уклончивым имплантом на Zig без внешних зависимостей и позиционно-независимыми стагерами (PIC) на чистом ассемблере.

ЭТО АЛЬФА-ВЕРСИЯ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ Используйте на свой страх и риск. Не все функции протестированы, код не проходил ревью. Есть баги, и некоторые команды могут не работать.

Протестировано следующее:

• Связь тимсервера и клиента
• EXE-имплант
• Команды агента для разведки
• Инъекция в процессы

Поддержка BOF не тестировалась.

---

Обзор архитектуры

                      +------------------------------------+
                      |       Operator CLI (Python)        |
                      |   Async TUI / Prompt-Toolkit       |
                      +-----------------+------------------+
                                        | HTTPS / REST API (Port 50051)
                                        v
                      +------------------------------------+
                      |       Lockjaw Teamserver           |
                      |          (Rust / Tokio)            |
                      |  - SQLite Storage (SQLx)           |
                      |  - Dynamic Zig Cross-Compiler      |
                      |  - Multi-Transport Listener Manager|
                      +--------+------------------+--------+
                               |                  |
                    HTTPS / HTTP                  DNS (UDP 53)
                    (WinHTTP)                     (Hickory DNS / Base32)
                               |                  |
                               v                  v
                      +------------------------------------+
                      |       Lockjaw Implant (Zig)        |
                      |  - Indirect Syscalls (Halo's Gate) |
                      |  - Reflective & PoolParty Injection|
                      |  - In-Memory BOF Execution Engine  |
                      |  - Ghost AMSI Bypass (HWBP + VEH)  |
                      |  - IAT-Clean Dynamic API Resolv.   |
                      |  - RC4-Encrypted Communications    |
                      +------------------------------------+

• Тимсервер (Rust): Построен на Tokio и Axum с Rustls. Управляет регистрацией агентов, диспетчеризацией задач, жизненным циклом листенеров и хранением данных в SQLite. Интегрирует конвейер кросс-компиляции полезной нагрузки по требованию с использованием Zig и GNU objcopy.
• Имплант (Zig и ассемблер): Кросс-компилируется нативно под x86_64-windows. Автономный, без внешних зависимостей от C-runtime, работает в подсистеме .Windows (безголовый режим, без окна консоли).
• Стагеры (PIC-ассемблер и PowerShell): Укреплённый x64 позиционно-независимый ассемблерный стагер (pic_stager.s) с архитектурой безопасного стека, сохранением shadow space и динамическим обходом PEB, а также лёгкие PowerShell-загрузчики.
• Operator CLI (Python 3): Асинхронный TUI на базе prompt_toolkit с оповещениями о регистрации в реальном времени, числовой индексацией, сопоставлением по префиксу, управлением контекстом и автоматической синхронизацией загрузки/выгрузки файлов.

---

Основные возможности и функции

1. Уклонение и противодействие анализу

• Косвенные системные вызовы (Hell's Gate + Halo's Gate):
  • Динамически извлекает номера системных служб (SSN) непосредственно из ntdll.dll в памяти с использованием хеширования DJB2.
  • Восстанавливает перехваченные системные вызовы через сканирование соседних слотов Halo's Gate (до 32 слотов выше и ниже).
  • Переходит напрямую к легитимным гаджетам syscall; ret, находящимся в секции .text файла ntdll.dll, обходя хуки API пользовательского режима, инспекцию стека вызовов и проверки происхождения адреса возврата.
• «Призрачный» обход AMSI (HWBP + VEH):
  • Нейтрализатор AMSI в памяти с использованием аппаратных точек останова (DR0/DR7) и векторной обработки исключений (AddVectoredExceptionHandler).
  • Вызывает внутреннее исключение (0xDEADBEEF) для настройки отладочных регистров на AmsiScanBuffer.
  • Перехватывает EXCEPTION_SINGLE_STEP, обнуляет RAX (AMSI_RESULT_CLEAN = 0) и корректно возвращает управление вызывающему.
  • Не изменяет ни одного байта памяти .text и избегает векторов обнаружения SetThreadContext.
• 100% чистый IAT и динамическое разрешение API:
  • Ноль статических импортов для чувствительных Win32/NT API.
  • Разрешает модули путём обхода PEB (InLoadOrderModuleList) и разрешает адреса функций динамически через хеширование с учётом регистра (djb2) и без учёта регистра (djb2_i) на этапе компиляции.
• Шифрованная связь:
  • Симметричное потоковое шифрование RC4 для всей связи агент-тимсервер (регистрации, задачи, результаты).
  • Уникальная идентификация агента, производная от PID, TID и имени машины через линейный конгруэнтный генератор (LCG).
• Скрытность:
  • Работает как GUI-приложение подсистемы .Windows.
  • Подавляет окна консоли через ShowWindow(hWnd, SW_HIDE).
  • Настраиваемый интервал beacon-сигналов со случайным джиттером.
  • Автоматический обход ошибок SSL-сертификатов (SECURITY_IGNORE_ALL_CERT_ERRORS), позволяющий работать с самоподписанными TLS-сертификатами и domain fronting.
• Самоуничтожение:
  • Завершает процесс агента и запускает отсоединённую асинхронную команду очистки (ping 127.0.0.1 -n 3 > nul & del /f /q ...) для безопасного удаления бинарника с диска.

2. Миграция процессов и инъекции

• Прямое рефлективное ручное отображение (migrate <pid> reflective):
  • Вручную отображает исполняемый образ агента в удалённый целевой процесс с использованием двойных отображаемых разделов общей памяти (NtCreateSection + NtMapViewOfSection, отображаемых RW локально и RWX удалённо).
  • Избегает подозрительных удалённых выделений виртуальной памяти (NtAllocateVirtualMemory / NtWriteVirtualMemory).
  • Выполняет локальное копирование PE-заголовков, отображение секций, исправление дельт базовых перемещений и разрешение таблицы импорта непосредственно в общей памяти перед запуском удалённого потока через косвенные системные вызовы NtCreateThreadEx.
  • Встроенная проверка архитектуры для защиты от несоответствий при инъекции в 32-битные (WOW64) процессы.
• Рефлективная инъекция PoolParty (migrate <pid> reflective_poolstomp):
  • Сочетает рефлективное отображение секций с продвинутой инъекцией в процесс PoolParty.
  • Перечисляет удалённые дескрипторы процессов через NtQuerySystemInformation для обнаружения существующих фабрик рабочих потоков пула (TpWorkerFactory).
  • Запрашивает WorkerFactoryBasicInformation, перезаписывает StartRoutine фабрики трамплином выполнения и запускает выполнение агента путём инкремента WorkerFactoryThreadMinimum через NtSetInformationWorkerFactory.
  • Ноль создания новых потоков: Полностью обходит телеметрию и оповещения, привязанные к CreateRemoteThread / NtCreateThreadEx (например, Sysmon Event ID 8, провайдеры ETW threat intelligence).