🛡️ BitLock Framework: 密码病毒学与C2生态系统（概念验证）

本仓库包含一个完整的概念验证（PoC），旨在研究现代威胁架构。该项目模拟了一个无文件攻击环境，并配备由椭圆曲线密码学和安全擦除协议保护的命令与控制（C2）基础设施。

🔬 攻击生命周期分析

系统通过三个主要模块的协调执行来运行，旨在规避传统防御并确保服务器端密钥的持久性。

1. 易失性渗透（load.py）

攻击始于一个阶段0的Stager。其主要功能是绕过端点检测与响应（EDR）：

• 短暂握手： 在RAM中生成唯一的AES-256密钥，并将其传输到端口5001。
• 有效载荷加密： 服务器在发送前实时加密勒索软件，从而阻止基于静态签名的数据包检查。
• 内存中执行： 有效载荷在易失性内存中解密并编译为字节码。
• 反取证： 在调用exec()之前，实现secure_wipe以销毁密钥和明文源代码。

2. C2通道建立（BitLockC2Server.py）

服务器作为一个用于管理加密资产的加固保险库运行：

• 保险库加固： 密钥数据库使用AES-256-GCM加密，并通过PBKDF2（480,000次迭代）进行密钥派生。
• 物理安全： --del命令激活一个数据粉碎算法，用随机垃圾数据覆盖文件，并使用os.fsync()确保硬件缓冲区刷新。

3. 目标加密引擎（BitLock-client.py）

被注入的模块按照军事标准执行文件加密：

• 混合握手： 实现ECDHE（P-384曲线）以实现完全前向保密（PFS）。如果椭圆曲线库不可用，则自动回退到RSA-4096。
• 认证加密： 使用AES-GCM确保文件既不能被篡改，也不能在没有原始完整性签名的情况下被恢复。
• 智能规避： 跳过关键系统目录（Windows、/bin/、/etc/）以避免操作系统崩溃，并确保结果报告可见。

📊 流程图（数据管道）

graph TD
    A[客户端：运行load.py] -->|1. 发送临时密钥| B(C2服务器：端口5001)
    B -->|2. 发送加密的有效载荷| A
    A -->|3. 在RAM中解密并执行| C[BitLock-Payload]
    C -->|4. ECDHE交换| D(C2服务器：端口5000)
    D -->|5. 将密钥存储在保险库中| E[(PBKDF2加密数据库)]
    C -->|6. AES-GCM加密| F[.locked文件]
    C -->|7. 自销毁| G[进程结束]

⚙️ 安全技术规格

⚠️ 免责声明（道德黑客）

本项目严格用于教育和研究目的。

1. 未经事先授权使用此工具是非法的，并构成计算机犯罪。
2. 作者不承担因用户或第三方基础设施损坏的任何责任。
3. 如果用户因配置错误锁定自己的系统，则完全承担技术和经济上的数据恢复责任。

为进攻性安全研究和关键基础设施防御而开发。