Черновик: Запрос на Обсуждение

Аннотация

В этом документе представлен обзор Версии 1 спецификации OST C&C. Он предназначен для подробного описания сообщений и полей, входящих в состав этих сообщений.

Введение

Мотивация, стоящая за этой спецификацией, — предоставить протокол обмена сообщениями C&C (включая постановку задач, структурированный вывод и одноранговую маршрутизацию), который можно реализовать дословно или просто использовать в качестве источника вдохновения для разработчиков проектов. Этот документ не предназначен для описания того, что такое C&C. Предполагается, что читатель понимает, что это такое и для чего используется.

Ключевые слова «MUST», «MUST NOT», «REQUIRED», «SHALL», «SHALL NOT», «SHOULD», «SHOULD NOT», «RECOMMENDED», «MAY» и «OPTIONAL» следует интерпретировать так, как описано в [RFC2119].

Допущения об окружении

Данная спецификация основана на следующих допущениях:

Сообщения передаются по незашифрованной сети.
В полезные нагрузки имплантов встроен открытый ключ RSA, используемый тем командным сервером, с которым импланту предстоит взаимодействовать.

Глоссарий

Ниже приведён список терминов, используемых в этом документе.

Метаданные импланта: информация, которую имплант сообщает о себе командному серверу.
Запрос задачи: задача, выдаваемая импланту для выполнения.

- **Тип**: 1-байтовое целое число. «Тип» этой задачи. См. [[Типы задач и коды](https://github.com/rasta-mouse/ost-c2-spec?tab=readme-ov-file#task-types-and-codes)]. - **Код**: 1-байтовое целое число. «Подкод» для данного типа. См. [[Типы задач и коды](https://github.com/rasta-mouse/ost-c2-spec?tab=readme-ov-file#task-types-and-codes)]. - **Флаги**: 2-байтовое целое число. Набор побитовых флагов, описывающих состояние сообщения. См. [[Флаги задач](https://github.com/rasta-mouse/ost-c2-spec?tab=readme-ov-file#task-flags)]. - **Метка**: 4-байтовое целое число. Уникальная метка для сопоставления нескольких сообщений, относящихся к одной и той же задаче. - **Идентификатор**: 4-байтовое целое число. Последовательный идентификатор, используемый для сборки фрагментированных сообщений в правильном порядке. - **Длина**: 4-байтовое целое число. Общая длина данных задачи. ## Типы задач и коды```text |------------------|--------------------------| | Type | Code | |------------------|--------------------------| | 0 - NOP | 0 | |------------------|--------------------------| | 1 - Exit | 0 | |------------------|--------------------------| | 2 - Set | 0 - Sleep/Jitter | | | 1 - SpawnTo | | | 2 - BlockDLLs | | | 3 - PPID | |------------------|--------------------------| | 3 - File | 0 - Copy | | | 1 - Move | | | 2 - Delete | | | 3 - Upload | | | 4 - Download | |------------------|--------------------------| | 4 - Directory | 0 - Print | | | 1 - Change | | | 2 - Create | | | 3 - Copy | | | 4 - Move | | | 5 - List | | | 6 - Delete | |------------------|--------------------------| | 5 - WhoAmI | 0 | |------------------|--------------------------| | 6 - Process | 0 - List | | | 1 - Kill | | | 2 - Inject Spawn | | | 3 - Inject Explicit | |------------------|--------------------------| | 7 - Registry | 0 - Query | | | 1 - Add | | | 2 - Delete | |------------------|--------------------------| | 8 - RPortFwd | 0 - Start | | | 1 - Data | |------------------|--------------------------| | 9 - Environment | 0 - Get | | | 1 - Set | |------------------|--------------------------| | 10 - SOCKS | 0 - Connect | | | 1 - Data | | | 2 - Close | |------------------|--------------------------| | 11 - Tokens | 0 - List | | | 1 - Make | | | 2 - Steal | | | 3 - Use | | | 4 - Revert | | | 5 - Delete | | | 6 - Purge | |------------------|--------------------------| | 12 - Run | 0 | |------------------|--------------------------| | 13 - ItemStore | 0 - List | | | 1 - Add | | | 2 - Delete | | | 3 - Purge | |------------------|--------------------------| | 14 - LocalExec | 0 - .NET | | | 1 - BOF | | | 2 - Managed PowerShell | | | 3 - Unmanaged PowerShell | |------------------|--------------------------| | 15 - PrintScreen | 0 | |------------------|--------------------------| | 16 - RemoteExec | 0 - WinRM | | | 1 - WMI | | | 2 - PsExec | | | 3 - SSH | |------------------|--------------------------| | 17 - Link | 1 - Link SMB | | | 2 - Link TCP | |------------------|--------------------------| | 18 - Unlink | 0 | |------------------|--------------------------| | 19 - P2P | 0 - Acknowledge | | | 1 - PassThru | |------------------|--------------------------| | 20 - Jobs | 0 - List | | | 1 - Kill | |---------------------------------------------|

### SOCKS-CLOSE-REQ```text SOCKS-CLOSE-REQ { id [1] UInt32 } ## Token Definitions ### TOKEN-LIST-REP ```text TOKEN-LIST-REP { tokens [1] SEQUENCE of [TokenEntry] }``` ### TOKEN-CREATE-REQ ```text TOKEN-CREATE-REQ { username [1] String domain [2] String OPTIONAL password [3] String OPTIONAL }``` ### TOKEN-STEAL-REQ ```text TOKEN-STEAL-REQ { process-id [1] UInt32 access-mask [2] UInt32 OPTIONAL }``` ### TOKEN-USE-REQ ```text TOKEN-USE-REQ { index [1] Byte }``` ### TOKEN-DELETE-REQ ```text TOKEN-DELETE-REQ { index [1] Byte }``` ### TokenEntry ```text Token { index [1] Byte username [2] String handle [3] String OPTIONAL process-id [4] UInt32 OPTIONAL }``` ## Implant Store Definitions ### STORE-LIST-REP ```text STORE-LIST-REP { items [1] SEQUENCE OF [StoreItem] }``` ### STORE-ADD-ITEM Definition ```text STORE-ADD-ITEM-REQ { item [1] SEQUENCE of Byte name [2] String type [3] [StoreItemType] }``` ### STORE-DELETE-ITEM Definition ```text STORE-DELETE-ITEM-REQ { index [1] Byte }``` ### StoreItem ```text StoreItem { index [1] Byte name [2] String type [3] [StoreItemType] }``` ### StoreItemType ```text StoreItemType { Assembly = 0, BOF = 1, Script = 2, Generic = 3 }``` ## Local Execution Definitions ### RUN-REQ ```text RUN-REQ { program [1] String arguments [2] String OPTIONAL token [3] Byte OPTIONAL }``` ### RUN-REP ```text RUN-REP { output [1] String }``` ### EXEC-ASM-REQ Either store-index or assembly MUST be provided. ```text EXEC-ASM-REQ { store-index [1] Byte OPTIONAL assembly [2] SEQUENCE of Byte OPTIONAL arguments [3] SEQUENCE of String OPTIONAL bypass-amsi [4] Boolean OPTIONAL bypass-etw [5] Boolean OPTIONAL }``` ### EXEC-ASM-REP ```text EXEC-ASM-REP { output [1] String }``` ### EXEC-BOF-REQ Either store-index or bof MUST be provided. ```text EXEC-BOF-REQ { store-index [1] Byte OPTIONAL bof [2] SEQUENCE of Byte OPTIONAL arguments [3] SEQUENCE of Byte OPTIONAL bypass-amsi [4] Boolean OPTIONAL bypass-etw [5] Boolean OPTIONAL }``` ### EXEC-BOF-REP ```text EXEC-BOF-REP { output [1] String }``` ### EXEC-POSH-REQ Either store-index or script MUST be provided. ```text EXEC-POSH-REQ { cmdlet [1] String store-index [2] Byte OPTIONAL script [3] SEQUENCE of Byte OPTIONAL bypass-amsi [3] Boolean OPTIONAL bypass-etw [4] Boolean OPTIONAL }``` ### EXEC-POSH-REP ```text EXEC-POSH-REP { output [1] String }``` ## Screenshot Definitions ### SCRNSHOT-REP ```text SCRNSHOT-REP { data [1] SEQUENCE of Byte }``` ## Remote Execution Definitions ### WINRM-REQ ```text WINRM-REQ { target [1] String program [2] String arguments [3] String OPTIONAL }``` ### WMI-REQ ```text WMI-REQ { target [1] String program [2] String arguments [3] String OPTIONAL }``` ### PSEXEC-REQ ```text PSEXEC-REQ { target [1] String service-name [2] String service-description [3] String OPTIONAL bin-path [4] String }``` ## Peer-to-Peer Definitions ### LINK-SMB-REQ ```text LINK-SMB-REQ { target [1] String pipename [2] String }``` ### LINK-TCP-REQ ```text LINK-TCP-REQ { target [1] String port [2] UInt32 }``` ### LINK-REP ```text LINK-SMB-REP { child-metadata [1] SEQUENCE of Byte }``` ### LINK-ACK ```text LINK-ACK { child-id [1] UInt32 }``` ### LINK-PASS-THRU ```text LINK-PASS-THRU { child-id [1] UInt32 message [2] SEQUENCE of Byte }``` ## JOB Definitions ### JOB-LIST-REP ```text jobs [1] Последовательность [JobEntry]``` ### JOB-KILL-REQ ```text index [1] UInt32``` ### JobEntry ```text index [1] UInt32 type [2] Byte code [3] Byte```

Value	Description
0	No flags
1	Task Error
2	Task Running (as job)
4	Message is fragmented, more to follow
8	Message is fragmented, no more to follow

OST-C2-Spec

Популярное

Аннотация

Введение

Допущения об окружении

Глоссарий

Сообщения задач

Заголовок задачи

Флаги задач

Обмен сообщениями

Регистрация импланта

Формирование IMPLANT-METADATA

Получение IMPLANT-METADATA

Проверка связи импланта

Запрос проверки связи

Ответ на проверку связи

Peer-to-Peer

Получение LINK-X-REQ

Формирование LINK-REP

Получение LINK-REP

Формирование LINK-ACK

Задачи дочерних имплантов

Определения сообщений

Поля временных меток

Необязательные поля

Поля с префиксом длины

Расширение спецификации

Не распознанные сообщения

IMPLANT-METADATA```text

IPV6-ADDRESS```text

TASK-ERROR```text

Определения наборов

SET-SLEEP-REQ```text

SET-BLOCKDLLS-REQ```text

Определения файловой системы

FILE-COPY-REQ```text

FILE-DELETE-REQ```text

FILE-DOWNLOAD-REQ```text

DIR-PRINT-REP```text

DIR-CREATE-REQ```text

DIR-COPY-REQ```text

DIR-LIST-REQ```text

DIR-DELETE-REQ```text

FileAttributes

Наследование

Определения WhoAmI

WHOAMI-REP```text

PROC-KILL-REQ```text

ProcessEntry```text

Целостность```text

REG-QUERY-REP```text

REG-DELETE-REQ```text

RegistryKey```text

RegistryValueKind```text

Определения обратного проброса портов

RPORTFWD-START```text

Определения окружения

ENV-GET-REQ```text

ENV-SET-REQ```text

SOCKS-DATA```text