Nimbo-C2

• Nimbo-C2
• 关于
• 功能
• 安装
  • 简单方式
  • 更简单的方式
• 使用
• 限制、警告、说明
• 贡献

关于

Nimbo-C2 是又一个（简单且轻量级的）C2框架。

Nimbo-C2 Agent支持x64 Windows和Linux。它用Nim编写，并在Windows上部分使用了.NET（通过动态加载CLR到进程中）。Nim很强大，但使用PowerShell与Windows交互更简单、更健壮，因此进行了这种组合。Linux Agent更精简，仅支持基本命令，包括使用memfd技术加载ELF文件。

所有服务器组件均用Python编写：

• HTTP监听器，管理Agent。
• 生成器，生成Agent载荷。
• Nimbo-C2是交互式C2组件，统管一切！

我的工作离不开前人伟大的工作，在致谢中已列出。

功能

• 生成EXE、DLL、ELF载荷。
• 使用NimProtect加密植入配置和字符串。
• 使用UPX打包载荷，并混淆PE节名称（UPX0、UPX1），使检测和脱壳更困难。
• 加密HTTP通信（AES CBC模式，密钥硬编码在Agent中，可通过config.jsonc配置）。
• C2控制台中的自动补全功能，方便交互。
• 文件与注册表命令。
• 内存中执行PowerShell命令。
• 文件上传和下载命令。
• 内置发现命令。
• 截图、剪贴板窃取、录音、键盘记录。
• 使用间接系统调用修补ETW和AMSI。
• 转储LSASS和SAM哈希。
• 使用间接系统调用进行Shellcode注入。
• 内联执行.NET程序集。
• 持久化能力。
• UAC绕过方法。
• 令牌模拟和getsystem。
• 将植入进程设置为关键进程（终止时导致蓝屏）。
• （Linux）使用memfd以两种模式加载ELF。
• 更多功能！

安装

警告：Nimbo-C2 旨在仅于提供的Docker容器内运行。

简单方式

注意：以这种方式安装可能会在未来引起问题或不兼容，因为当前Docker镜像未强制指定语言和库版本，请考虑跳到下一种方法。

1. 克隆仓库并进入目录

git clone https://github.com/itaymigdal/Nimbo-C2
cd Nimbo-C2

2. 构建Docker镜像

docker build -t nimbo-dependencies .

3. 再次进入源文件目录，以交互方式运行Docker镜像，暴露端口80并将Nimbo-C2目录挂载到容器中（这样你可以轻松访问所有项目文件，修改config.jsonc，从Agent下载和上传文件等）。对于Linux，请将${pwd}替换为$(pwd)。

cd Nimbo-C2
docker run -it --rm -p 80:80 -v ${pwd}:/Nimbo-C2 -w /Nimbo-C2 nimbo-dependencies

更简单的方式

这里我们使用已经构建、测试并存储的Docker镜像——推荐。

git clone https://github.com/itaymigdal/Nimbo-C2
cd Nimbo-C2/Nimbo-C2
docker run -it --rm -p 80:80 -v ${pwd}:/Nimbo-C2 -w /Nimbo-C2 itaymigdal/nimbo-dependencies

对于Linux，请将${pwd}替换为$(pwd)。

使用

首先，根据你的需求编辑config.jsonc。

然后运行：python3 Nimbo-C2.py

在每个界面使用help命令，并可使用Tab补全。

限制、警告、说明

• 尽管HTTP通信已加密，但'user-agent'头是明文传输，并且携带真实的Agent ID，某些产品可能会将其标记为可疑。
• 用双引号包裹包含空格的路径或参数。
• CLR使用主访问令牌，因此impersonate/getsys不影响iex/assembly。
• audio、lsass（除了Evil Lsass Twin方法）命令在渗出前会将临时工件保存到磁盘，然后删除。
• 如果你对Nimbo服务器进行隧道传输（例如通过Pinggy暴露），请使用TCP，而非HTTP。

贡献

本软件在某些使用场景下可能存在错误或不稳定，因为它未经过全面和持续的测试。 欢迎提出问题、提交PR，并随时通过（Gmail | Linkedin）联系我。