CustomC2ChannelTemplate

用于自定义C2通道的IAT钩子 这是一个简单的概念验证和模板，用于开发Cobalt Strike的自定义C2通道，通过反射加载器应用IAT钩子。 博客文章：https://codex-7.gitbook.io/codexs-terminal-window/red-team/cobalt-strike/building-custom-c2-channels-by-hooking-wininet TCP通道的演示动图 使用方法 customCallback.h、hook.c、hash.h和hook.h文件是粗略的模板，但它们可以放入Crystal...

sliver

Sliver Sliverは、あらゆる規模の組織が許可されたセキュリティテストを実施できるように設計された、オープンソースのクロスプラットフォーム敵対者エミュレーションおよびレッドチームフレームワークです。 Sliverインプラントは、Mutual TLS mTLS、WireGuard、HTTPS、およびDNSを介したコマンドアンドコントロール C2 をサポートしています。インプラントはバイナリごとに固有の非対称暗号化キーで動的にコンパイルされ、macOS、Windows、Linuxにわたる幅広いポストエクスプロイト機能をサポートしています。...

Phoenix-Framework

Phoenix-Framework Phoenixは、信頼されたサイトをC2に悪用する非同期ベースのポストエクスプロイテーションフレームワークです。 対応プラットフォーム Phoenixは現在、以下のプラットフォームをBot API経由でサポートしています。 Discord Telegram Reddit 近日対応予定 Phoenixは以下の基本機能を提供します。 文字列の難読化 チャット内でユーザーがアップロードした添付ファイルの自動ダウンロード フォレンジックを困難にする自己破壊機能 ウィンドウタイトル取得機能付きキーロギング Webカメラ＆デスクトップのキャプチャとライブストリーミ...

wikipedia-c2

Wikipedia-C2 Wikipedia C2 博客文章 这是一个演示项目，用于展示利用 Wikipedia 进行命令与控制（C2）。在 Josh Abraham 展示了利用 Slack 和 ICMP 的 C2 之后，我想探索一下互联网顶级站点中还有哪些其他选项可用于 C2。在查看 Wikipedia 的 API 后，我发现有一个用户选项 user-jsarbitraryKeyName 可以设置为“任意值”。后来我发现该值的最大长度为 65535 个字符，这对于 C2 来说绰绰有余。 开始使用 本项目需要 Python 3。它适用于 Windows、macOS 和...

external_c2_framework

externalc2 フレームワーク Cobalt Strike の External C2 仕様（仕様書）で説明されている仕様と併せて使用するための Python フレームワークです。 主な設計目標は、external c2 仕様を非常にモジュール化された実装とし、Cobalt Strike 用の C2 チャネルを簡単に実装できる十分な抽象化を提供することです。理想的には、ユーザーは transport モジュールと encoder モジュールを作成し、設定ファイルに値を記入するだけで、新しいチャネルを実装できます。 Dropbox トランスポート設定...

OneDrive-UDC2

OneDrive UDC2 一个使用 OneDrive 作为传输层的 Cobalt Strike 用户自定义 C2 通道。 你需要准备 一个 Microsoft Entra ID 租户，其中有一个拥有 OneDrive for Business 的用户。 一个具有 Files.ReadWrite.All 应用程序权限的应用注册。 设置 1. 注册应用程序 在 Azure 门户中，转到 应用注册 并创建一个新应用： 账户类型： 单租户。 重定向 URI： 留空。 记下概览页面中的 租户 ID 和 客户端 ID 。 2. 添加 Graph 权限 在 API 权限 下： 1. 添加...

DNSStager

DNSStagerとは？ DNSStagerは、DNSを使用してペイロードを隠蔽・転送するための、Pythonベースのオープンソースプロジェクトです。 DNSStagerは、悪意のあるDNSサーバーを作成し、ドメインへのDNSリクエストを処理します。ペイロードをチャンクに分割し、さまざまなアルゴリズムでエンコードした後、AAAAやTXTレコードなどの特定のレコードリクエストに対する応答としてペイロードを返します。...

WebDavC2

WebDAVC2 最終/現在のバージョン: 0.3 著者: Arno0x0x - @Arno0x0x WebDavC2は、WebDAVプロトコルをPROPFINDリクエストのみ で使用し、ターゲットシステム上で動作するエージェントと、実際のC2サーバとして機能するコントローラ間のC2通信チャネルとして機能するPoCです。 このツールはGPLv3ライセンスの条件の下で配布されています。 背景情報 WebDAV PROPFINDリクエストのみをC2チャネルとして使用するアイデアをどのように、そしてなぜ 思いついたかについては、このブログ記事を参照してください：...

smtpshell

smtpshell ネットワーク制限を回避するために、Gmail SMTPまたは他のSMTPを介して通信できるシンプルなリバースシェルです。 注意: このリバースシェルはGmail SMTP（または他のSMTPサーバーも使用可能）を介して通信します。 しかし、Gmail SMTPが有効な理由は、ほとんどの企業が未知のトラフィックをブロックするため、 Gmailトラフィックは有効であり、どこでも許可されているからです。 警告: 1. VirusTotal.comにペイロードをアップロードしないでください。このツールは時間とともに機能しなくなります。 2...

BlockchainC2

BlockchainC2 BlockchainC2 是一个小型 POC 服务器/代理，用于评估攻击者如何利用区块链（特别是以太坊的智能合约功能）进行 C2 通信。 有关此应用程序的详细信息可在此处找到。 智能合约 此 POC 中使用的智能合约非常简单： pragma solidity ^0.5.0; contract EventC2 address owner; event ServerDatabool f, bool enc, int seq, string agentID, string data; event ClientDatabool f, bool enc, int seq,...

WSC2

WSC2 最終/現在のバージョン: 0.1 作者: Arno0x0x - @Arno0x0x WSC2 は、WebSocket とブラウザプロセスを使用して、対象システム上で動作するエージェントと、実際の C2 サーバとして機能するコントローラとの間の C2 通信チャネルとして機能する PoC です。 本ツールは GPLv3 ライセンス の条件の下で配布されています。 背景情報 このツールの開発に関する背景と洞察を得るには、以下のブログ記事を参照してください: WebSocket と IE/Edge を C2 通信に使用する アーキテクチャ WSC2 は以下で構成されます: Python...

Powershell-C2

Powershell-C2 该攻击源于我的 Powershell Payload Excel Delivery，但它使用了一种非常巧妙的方法来实现命令与控制（C2）/在目标机器上的持久化。 相关演练可在此处找到：http://enigma0x3.wordpress.com/2014/01/17/command-and-control-using-powershell-and-your-favorite-website/ 感谢 @obscuresec 和 @mattifestation 提供此方法。他们关于此方法的演讲可在此处观看：...

SharpFtpC2

SharpFtpC2 PoC SharpFtpC2 は、2台のリモートコンピュータ間でコマンドと応答を中継するためにFTPSを使用する可能性を探る、小さな実験的プロジェクトです。FTPプロトコルを即席のトンネルとして利用し、どちらもFTPサーバーに接続するクライアントとして動作するコンピュータ同士が通信できるようにします。シンプルなセッション管理スキームを用いて、リクエストと応答の交換を追跡します。 SharpFtpC2は基本的なセッション管理システムを採用しています。非常に初歩的ではありますが、通信の同期と関連付けを維持する役割を果たしており、リモートシステム間のやりとりに不可欠です。...

secret_handshake

Secret Handshake - 一种利用 x509 证书通过 mTLS 实现恶意软件 C2 信道 动机 首先，我为什么要把这个开源？ MITRE ATT&CK 只提到被盗的或自签名的证书，而 NDR（据我所知）很少关注 x509 证书的内容，除了颁发 CA 是谁之外。一般来说，x509 证书是被信任的，并且可以毫无阻碍地穿过我们的防火墙。但本质上，它们只是文件，可以像其他任何文件一样轻松包含恶意负载。我们信任并忽略它们，因为它们是加密过程的核心组成部分，而我们已对这种加密过程习以为常。这个项目的主要目标是提高人们对一类我们已然信任的安全指标的认识，并突出展示可用于检测其恶意使用的方...

siphondns

SiphonDNS 针对此研究中所述技术的一个 PoC。 实现通过 DNS 非标准部分进行数据外泄。 服务器： $ ./siphondns-server -method ecs Starting DNS server cmd id Command received Receiving data............................................................................ Response: uid=1000kali gid=1000kali...

ToxicPanda 2.0 and GoldDigger Expand Android Banking Attacks with On-Device Fraud

Cybersecurity researchers have shed light on an updated version of ToxicPanda aka TgToxic that comes with "significant enhancements," including a set of 167 remote commands and expands its targeting footprint globally. Zimperium zLabs, in a Wednesday report, said the Android malware also features...

MAL-2026-13955 Malicious code in mutex-forge (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector d3e6d6c8a6e7f9463fa8a07604b4699b1dba8415ee6759e3145b0cab183f4421 The package presents itself as a mutex/semaphore library but contains a hidden second-stage loader in lib/Mutex.js. When runExclusive is invoked with...

Embedded Malicious Code

Overview Affected versions of this package are vulnerable to Embedded Malicious Code that hides inside binary executable files triggered by a postinstall script. IronWorm is a sophisticated, Rust-based infostealer that functions as a self-replicating supply-chain attack. Its primary characteristi...

Malicious code in 7miners (PyPI)

--- -= Per source details. Do not edit below this line.=- Source: kam193 7501eb0620c75479fa4614362aaa6c5766c8cc2f3b4d8829db6a44ca086cc374 Clones of legitimate libraries with malicious modifications intended to download malicious remote code. The remote script allows executing arbitrary files...

Malicious code in trustwallet (PyPI)

--- -= Per source details. Do not edit below this line.=- Source: kam193 ffef6e3541d5ab62ee32f0d44e9da05c6e495c15a4c9a9d9a4866e40ae502604 Clones of legitimate libraries with malicious modifications intended to download malicious remote code. The remote script allows executing arbitrary files...