Fawkes — это golang Mythic C2 агент, написанный исключительно ИИ.
Fawkes — это целиком созданный с помощью vibe-кодирования агент Mythic C2. Это началось как «интересно», а превратилось в цель. Моя цель — не написать ни строчки кода для этого агента, а исключительно создавать его с помощью промптов.
Изначально я пытался написать агента сам, но после клонирования примера контейнера, чтения документации Mythic, просмотра видео серии разработчика на YouTube и копирования кода из других агентов, таких как Merlin или Freyja, я решил, что у меня просто нет времени на разработку собственного агента. А вот для промптов время у меня есть.
Fawkes — это агент на Golang с кроссплатформенными возможностями. Он поддерживает Windows (EXE, DLL и шеллкод), Linux (ELF-бинарники и разделяемые библиотеки) и macOS (Mach-O-бинарники для Intel и Apple Silicon). Всего 213 команд: 113 кроссплатформенных, 82 только для Windows, 21 только для Unix, 11 только для Linux и 6 только для macOS (некоторые команды имеют платформозависимые реализации, объединённые одним пользовательским именем, например screenshot). Поддерживает HTTP-исходящие соединения и TCP-соединения peer-to-peer (P2P) для внутреннего перемещения.
Чтобы установить Fawkes, вам потребуется Mythic, установленный на удалённом компьютере. Инструкции по установке Mythic можно найти на странице проекта Mythic.
Из каталога установки Mythic:``` ./mythic-cli install github https://github.com/galoryber/fawkes
## Краткий справочник командCommand | Syntax | Description
------- | ------ | -----------
acl-edit | `acl-edit -action read -server dc01 -target user` | Чтение/изменение DACL объектов Active Directory (добавление/удаление ACE, предоставление DCSync, GenericAll, резервное копирование/восстановление). Кроссплатформенный (T1222.001, T1098, T1003.006).
adcs | `adcs -action <cas\|templates\|find\|request\|auto-exploit> -server <DC> -username <user@domain> -password <pass> [-ca_name <CA>] [-template <name>] [-alt_name <UPN>]` | Перебор служб сертификации AD, поиск уязвимых шаблонов (ESC1-ESC4, ESC6 через DCOM), запрос сертификатов через DCOM для эксплуатации ESC1/ESC6 или автоэксплуатация (цепочка find → parse → request). Кроссплатформенный (T1649).
ads | `ads -action <write\|read\|list\|delete> -file <path> [-stream <name>] [-data <content>] [-hex true]` | **(Только Windows)** Управление альтернативными потоками данных NTFS — запись, чтение, вывод списка или удаление скрытых потоков данных. Поддерживает текст и шестнадцатеричные двоичные данные. MITRE T1564.004.
amcache | `amcache -action <query\|search\|delete\|clear> [-name <pattern>] [-count <n>]` | Запрос и очистка артефактов выполнения для криминалистики. Windows: Shimcache. Linux: recently-used.xbel, эскизы, Tracker. macOS: недавние элементы, KnowledgeC, карантин (T1070.004).
apc-injection | `apc-injection [-method <apc\|hwbp>] -pid <PID> [-tid <TID>] [-target_api ntdll!NtDelayExecution] [-timeout_ms 30000]` | **(Только Windows)** Внедрение в удаленный процесс. `-method apc` (по умолчанию) ставит шелл-код в очередь через NtQueueApcThread в поток, находящийся в состоянии ожидания (используйте `ts` для поиска такого). `-method hwbp` присоединяется через DebugActiveProcess, устанавливает аппаратную точку останова DR0 на целевом API (по умолчанию `ntdll!NtDelayExecution`) и перенаправляет Rip на шелл-код при срабатывании точки останова — не требует TID, очереди APC или CreateRemoteThread (T1055.004, T1055).
audio-capture | `audio-capture [-duration 10] [-sample_rate 16000] [-channels 1] [-device default]` | Запись звука с микрофона и загрузка WAV-файла. Windows (waveIn), Linux (arecord/parecord), macOS (rec/ffmpeg). Кроссплатформенный (T1123).
auditpol | `auditpol -action <query\|disable\|enable\|stealth> [-category <name\|all>]` | **(Только Windows)** Запрос и изменение политик аудита Windows. Отключение журналирования событий безопасности перед чувствительными операциями. Режим Stealth отключает подкатегории, критически важные для обнаружения. Использует API AuditQuerySystemPolicy (T1562.002).
argue | `argue -command "cmd.exe /c whoami" -spoof "cmd.exe /c echo hello"` | **(Только Windows)** Выполнение команды с подменой аргументов процесса. Обходит Sysmon Event ID 1 и телеметрию командной строки EDR (T1564.010).
arp | `arp [-ip <subnet>]` or `arp -action spoof -target <IP> -gateway <IP>` | Отображение ARP-таблицы с фильтрацией или отравление ARP-кэша для позиционирования MITM (T1557.002). Spoof: только Linux, восстанавливается при очистке.
asrep-roast | `asrep-roast -server <DC> -username <user@domain> -password <pass> [-account <target>]` | Запрос билетов AS-REP для учетных записей без предварительной аутентификации и извлечение хэшей в формате hashcat для офлайн-взлома. Автоматически перечисляет через LDAP. Кроссплатформенный (T1558.004).
av-detect | `av-detect [-deep true]` | Обнаружение установленных продуктов AV/EDR/безопасности путем сканирования запущенных процессов по базе из 130+ сигнатур. С `--deep` также проверяет модули ядра, модули systemd и каталоги конфигурации на предмет установленных, но не запущенных продуктов (Linux). Сообщает о продукте, вендоре, типе и PID. Кроссплатформенный.
autopatch | `autopatch <dll_name> <function_name> <num_bytes>` | **(Только Windows)** Автоматическое патчинг функции путем перехода к ближайшей инструкции возврата (C3). Полезно для обхода AMSI/ETW.
base64 | `base64 -action <encode\|decode\|xor\|hex\|hex-decode\|rot13\|url\|url-decode\|caesar> -input <data> [-key <key>] [-shift <N>] [-file true] [-output <path>]` | Набор инструментов кодирования данных: base64, XOR (с строковым/шестнадцатеричным ключом), hex, ROT13, URL-процентное кодирование, шифр Цезаря. Все поддерживают ввод/вывод файлов. Кроссплатформенный (T1132.001, T1140, T1027).
bits | `bits -action <list\|create\|persist\|cancel\|suspend\|resume\|complete> [-name <job>] [-url <URL>] [-path <local>] [-command <exe>]` | **(Только Windows)** Управление заданиями передачи BITS для персистентности и скрытой загрузки файлов. Создание, приостановка, возобновление, завершение заданий и установка команд уведомления для персистентности. Задания переживают перезагрузки (T1197).
browser | `browser [-action <passwords\|cookies\|history\|autofill\|bookmarks\|downloads>] [-browser <all\|chrome\|edge\|chromium\|firefox>]` | Сбор данных браузера из Chromium, Firefox и Safari. История, автозаполнение, закладки, загрузки — кроссплатформенно. Пароли: Chromium (DPAPI/Keychain/GNOME Keyring), Firefox (расшифровка NSS key4.db), Safari (связка ключей macOS). Куки Firefox на всех платформах. MITRE T1555.003, T1217.
cat | `cat <file>` или `cat -path <file> -start N -end N -number true` | Отображение содержимого файла с опциональным диапазоном строк, нумерацией и защитой от файлов размером >5MB.
cd | `cd <directory>` | Изменить текущий рабочий каталог.
chmod | `chmod -path <file> -mode <permissions> [-recursive true]` | Изменение разрешений файла/каталога с восьмеричной (755, 644) или символьной (+x, u+rw, go-w) нотацией. Рекурсивная поддержка. Кроссплатформенный (T1222).
chown | `chown -path <file> -owner <user> [-group <group>] [-recursive true]` | **(Только Linux/macOS)** Изменение владельца файла/каталога по имени пользователя/UID и группе/GID. Рекурсивная поддержка (T1222).
cert-check | `cert-check -host <hostname> [-port 443] [-timeout 10]` | Проверка TLS-сертификатов на удаленных хостах — определяет центры сертификации, самоподписанные сертификаты, срок действия, SAN, версию TLS, наборы шифров и отпечатки SHA256. Кроссплатформенный (T1590.001).