Adaptix Serverless C2

用于 AdaptixC2 v1.2 的 Serverless C2 传输插件，使用 AWS Lambda + DynamoDB 作为中继基础设施。Agent 流量表现为发往 AWS 端点的出站 HTTPS，C2 服务器无需开放任何入站端口或公网 IP。

架构

Kharon Agent (target)
    |
    | HTTPS GET/POST (outbound only, randomly alternated)
    v
AWS Lambda Function URL (stateless relay)
    |
    | Store inbound / Poll outbound (up to 8s)
    v
DynamoDB (inbound + outbound tables)
    ^
    | Poll every 5 seconds
    |
Listener Plugin (inside AdaptixC2)
    |
    | TsAgent API + TsExtenderData (key persistence)
    v
AdaptixC2 Teamserver + UI

数据流：

1. Kharon agent 通过 HTTPS 向 Lambda Function URL 发送加密的签到请求
2. Lambda 将原始数据存储到 DynamoDB 的 inbound 表中
3. Lambda 轮询 outbound 表，最长持续 8 秒（弥合注册过程中的异步间隙）
4. 如果存在响应，Lambda 返回该响应并将其标记为已投递
5. AdaptixC2 监听器插件轮询 DynamoDB 的 inbound 表以获取未处理的记录
6. 监听器解析 Kharon 线路协议（LokyCrypt 加密），注册/更新 agent
7. 当操作员下发命令时，监听器以 Kharon 格式加密命令，并存储到 outbound 中
8. 在下一次签到时，Lambda 将响应返回给 agent

组件

组件	路径	用途
Kharon agent	agent/	捆绑的 Kharon 植入体（C++ 源码）
Terraform	deploy/aws/	Lambda + DynamoDB + IAM + KMS 基础设施
Lambda 中继	deploy/aws/lambda/	无状态 HTTP 到 DynamoDB 代理，带出站轮询
监听器插件	listener/	AdaptixC2 插件、DynamoDB 轮询、Kharon 协议桥接
Kharon 配置	kharon/	用于 agent/监听器扩展器的 AXS 命令注册和配置
补丁	patches/	用于支持 BeaconServerless 的 AdaptixC2 源码补丁
配置文件	profiles/	用于 Lambda URL 的 Malleable HTTP 配置文件
脚本	scripts/	安装、构建、部署、卸载

前置条件

• 已配置凭证的 AWS 账户（aws configure）
• Terraform >= 1.5.0
• Go >= 1.23（监听器插件需要与服务器二进制文件匹配的 GOEXPERIMENT）
• 已安装 AdaptixC2 v1.2
• 支持 mingw 目标的 clang++：apt install clang lld
• NASM 汇编器：apt install nasm
• objcopy：apt install binutils-mingw-w64-x86-64

AWS 账户设置

1. 为部署创建 IAM 用户

在 AWS 控制台中：

1. 转到 IAM > Users > Create user
2. 将其命名为 adaptix-deployer
3. 选择 Attach policies directly
4. 附加以下 AWS 托管策略：
   • AmazonDynamoDBFullAccess
   • AWSLambda_FullAccess
   • IAMFullAccess
   • CloudWatchLogsFullAccess
5. 为 KMS 添加一个内联策略：
   • 点击 Add permissions > Create inline policy > JSON
   • 粘贴：{"Version":"2012-10-17","Statement":[{"Effect":"Allow","Action":"kms:*","Resource":"*"}]}
   • 将其命名为 KMSFullAccess
6. 创建用户，然后转到 Security credentials > Create access key
7. 选择 Command Line Interface (CLI)
8. 保存 Access Key ID 和 Secret Access Key

2. 配置 AWS CLI

aws configure
# AWS Access Key ID: <paste access key>
# AWS Secret Access Key: <paste secret key>
# Default region: us-east-1
# Default output format: json

验证：

aws sts get-caller-identity

安装

步骤 1：部署 AWS 基础设施

# Build the Lambda relay binary (cross-compiled for Amazon Linux)
./scripts/build_relay.sh

# Deploy Lambda + DynamoDB + IAM with Terraform
./scripts/deploy_infra.sh

# Note the Lambda Function URL from the output, e.g.:
# lambda_function_url = "https://xxxxx.lambda-url.us-east-1.on.aws"

步骤 2：将插件安装到 AdaptixC2 中

./scripts/install.sh /path/to/AdaptixC2

此脚本将：

1. 备份你的 dist/ 目录（证书、数据库、配置文件）
2. 应用源码补丁以支持 BeaconServerless 连接器
3. 从服务器二进制文件中检测 GOEXPERIMENT 标志
4. 使用匹配的标志构建监听器插件（.so）
5. 重新构建 AdaptixC2 服务器和扩展器
6. 恢复你备份的文件（证书、数据库、配置文件）
7. 安装无服务器监听器插件 + Kharon 扩展器配置
8. 创建/更新 systemd 服务
9. 重启 AdaptixC2

步骤 3：在 GUI 中配置监听器

1. 登录 AdaptixC2 Web UI
2. 进入 Listeners 并创建一个新的 BeaconServerless 监听器
3. 将 Lambda URL 设置为步骤 1 中的 Function URL
4. 设置 Relay API Key（必须与你的 terraform.tfvars 中的 relay_api_key 匹配）
5. 可选调整：AWS Region、Poll Interval（默认 5s）、TTL Hours（默认 24）
6. 从 profiles/lambda_default.json 上传 malleable 配置文件
7. 启动监听器

步骤 4：生成并执行 Payload

1. 在 GUI 中，选择 BeaconServerless 监听器生成 Kharon agent
2. 选择格式（Exe、Dll、Svc）和架构（x64）
3. 在目标上执行 payload
4. agent 应在数秒内上线

配置

Terraform 变量（deploy/aws/terraform.tfvars）

region        = "us-east-1"
function_name = "adaptix-relay"
relay_api_key = "your-secret-key-here"
tags = {
  Project = "adaptix-serverless"
}

监听器设置（AdaptixC2 GUI）

字段	描述	默认值
AWS Region	部署基础设施所在的区域	us-east-1
Lambda URL	来自 Terraform 输出的函数 URL	（必填）
Relay API Key	必须与 Terraform 的 relay_api_key 匹配	（可选）
Inbound Table	用于 agent 签到的 DynamoDB 表	adaptix-inbound
Outbound Table	用于服务器响应的 DynamoDB 表	adaptix-outbound
Poll Interval	检查 DynamoDB 的频率（秒）	5
TTL Hours	DynamoDB 记录过期时间	24

关键技术细节

Kharon 线路协议

Kharon agent 通过 HTTP 使用自定义二进制协议：

• 新 agent（注册）： [36-byte UUID][encrypted_checkin_data][16-byte LokyCrypt key]
• 已连接 agent（GetTask）： [36-byte UUID][encrypted_payload]（无尾部密钥）
• !已连接 agent（密钥覆盖）： 当载荷较小时，位于 TotalLen-16 的 16 字节密钥会重叠到 UUID 区域。对于 44 字节的数据包，密钥从偏移 28 开始，覆盖 UUID 字节 28-35 以及所有加密数据。

监听器会检测全部三种格式并正确处理它们。

Lambda 出站轮询循环

Lambda + DynamoDB 的异步特性意味着当 Lambda 首次检查响应时，监听器尚未处理入站记录。Lambda 在存储入站记录后会轮询出站表最多 8 秒，为监听器留出处理并排队响应的时间。这对注册至关重要（Checkin 响应必须在 Checkin 阶段到达，而不是在之后的 GetTask 阶段）。

密钥持久化

Agent 加密密钥通过 TsExtenderDataSave/TsExtenderDataLoad（由 SQLite 支持）持久化。这可以在服务重启后保留。重启时，监听器在遇到已知 agent ID 时会从持久化存储中恢复密钥。

GET/POST 处理

Kharon 会在 GET 和 POST 请求之间随机交替（HTTP_METHOD_USE_BOTH）。GET 请求将数据放在 id 查询参数中（按 profile 进行 base64 编码）。POST 请求将原始二进制数据放在 HTTP body 中。Lambda 会透明地处理这两种情况。

OPSEC

• 所有 agent 流量均为发往 *.lambda-url.*.on.aws 端点的出站 HTTPS
• C2 服务器无需开放任何入站端口
• DynamoDB 记录通过 TTL 自动过期
• CloudWatch 日志使用 KMS 加密，保留 3 天
• Lambda 中继通过 API key 请求头进行身份验证
• 考虑使用 CloudFront 配合自定义域名进行域前置
• Lambda 轮询循环会给响应增加 0-8 秒延迟

卸载

# Remove plugin from AdaptixC2
./scripts/uninstall.sh /path/to/AdaptixC2

# Destroy AWS infrastructure
cd deploy/aws && terraform destroy