Nimbo-C2

• Nimbo-C2
• О проекте
• Возможности
• Установка
  • Простой способ
  • Ещё более простой способ
• Использование
• Ограничения, предупреждения, замечания
• Вклад

О проекте

Nimbo-C2 — это ещё один (простой и лёгкий) C2-фреймворк.

Агент Nimbo-C2 поддерживает x64 Windows и Linux. Он написан на Nim, с некоторым использованием .NET в Windows (путем динамической загрузки CLR в процесс). Nim — мощный язык, но взаимодействие с Windows гораздо проще и надежнее с помощью PowerShell, поэтому и было создано такое сочетание. Агент для Linux более легкий и способен выполнять только базовые команды, включая загрузку ELF с использованием техники memfd.

Все серверные компоненты написаны на Python:

• HTTP-слушатель, управляющий агентами.
• Сборщик, генерирующий полезные нагрузки агентов.
• Nimbo-C2 — это интерактивный C2-компонент, который управляет всем!

Моя работа была бы невозможна без предыдущих выдающихся работ других авторов, перечисленных в разделе благодарностей.

Возможности

• Создание EXE, DLL, ELF полезных нагрузок.
• Зашифрованная конфигурация и строки импланта с помощью NimProtect.
• Упаковка полезных нагрузок с помощью UPX и обфускация имен PE-секций (UPX0, UPX1) для усложнения обнаружения и распаковки.
• Зашифрованная HTTP-коммуникация (AES в режиме CBC, ключ жестко задан в агенте и настраивается через config.jsonc).
• Автодополнение в консоли C2 для удобного взаимодействия.
• Команды для работы с файлами и реестром.
• Выполнение команд PowerShell в памяти.
• Команды загрузки и выгрузки файлов.
• Встроенные команды разведки.
• Снятие скриншотов, кража буфера обмена, запись звука и кейлоггер.
• Обход ETW и AMSI с помощью косвенных системных вызовов.
• Дампинг хешей LSASS и SAM.
• Внедрение шелл-кода с помощью косвенных системных вызовов.
• Выполнение встроенных .NET-сборок.
• Возможности сохранения постоянства.
• Методы обхода UAC.
• Имитация токена и getsystem.
• Установка процесса импланта как критического (BSOD при завершении).
• (Linux) Загрузка ELF с помощью memfd в двух режимах.
• И многое другое!

Установка

Предупреждение: Nimbo-C2 предназначен для запуска только в предоставленном Docker-контейнере

Простой способ

Примечание: установка этим способом может вызвать проблемы или несовместимость в будущем, так как образ Docker в настоящее время не фиксирует версии языков и библиотек. Рекомендуется перейти к следующему методу.

1. Клонируйте репозиторий и перейдите в него:

git clone https://github.com/itaymigdal/Nimbo-C2
cd Nimbo-C2

2. Соберите Docker-образ:

docker build -t nimbo-dependencies .

3. Снова перейдите в исходные файлы и запустите Docker-образ в интерактивном режиме, откройте порт 80 и смонтируйте каталог Nimbo-C2 в контейнер (чтобы легко получать доступ ко всем файлам проекта, изменять config.jsonc, загружать и выгружать файлы от агентов и т.д.). Для Linux замените ${pwd} на $(pwd).

cd Nimbo-C2
docker run -it --rm -p 80:80 -v ${pwd}:/Nimbo-C2 -w /Nimbo-C2 nimbo-dependencies

Ещё более простой способ

Здесь мы используем уже собранный, протестированный и сохраненный Docker-образ — рекомендуется.

git clone https://github.com/itaymigdal/Nimbo-C2
cd Nimbo-C2/Nimbo-C2
docker run -it --rm -p 80:80 -v ${pwd}:/Nimbo-C2 -w /Nimbo-C2 itaymigdal/nimbo-dependencies

Для Linux замените ${pwd} на $(pwd).

Использование

Сначала отредактируйте config.jsonc под свои нужды.

Затем запустите: python3 Nimbo-C2.py

Используйте команду help для каждого экрана и автодополнение по табуляции.

Ограничения, предупреждения, замечания

• Несмотря на то, что HTTP-коммуникация зашифрована, заголовок 'user-agent' передается в открытом виде и содержит реальный идентификатор агента, что некоторые продукты могут посчитать подозрительным.
• Заключайте пути или аргументы с пробелами в двойные кавычки.
• CLR работает с основным токеном доступа, поэтому impersonate/getsys не влияют на iex/assembly.
• Команды audio, lsass (за исключением метода Evil Lsass Twin) временно сохраняют артефакты на диск перед эксфильтрацией и удаляют их.
• Если вы туннелируете сервер Nimbo (например, через Pinggy), используйте TCP, а не HTTP.

Вклад

Это программное обеспечение может содержать ошибки или быть нестабильным в некоторых случаях использования, поскольку оно не проходило полного и постоянного тестирования. Не стесняйтесь открывать issues, pull request'ы и связываться со мной по любым вопросам через (Gmail | Linkedin)