NimPlant

NimPlant - A light first-stage C2 implant written in Nim|Rust and Python By Cas van Cooten @chvancooten, with special thanks to some awesome folks: Kadir Yamamoto @yamakadi, Furkan Göksel @frkngksl , Fabian Mosch @S3cur3Th1sSh1t, Rafael Félix @b1scoito, Guillaume Caillé @OffenseTeacher, and many...

ICMP-Ghost-A-Fileless-x64-Assembly-C2-Agent

root@kitploit: |\ |\ |\ |\ |\ |\ \ |\ |\ \ \ \ | \ \ \\ \ \ |\ \ \ || \ | \ \ |||\ \ \ \ \ \ \ \ \ \\ \ \ \ \ \ \ \ \ \ \ \ \ \ |\ \ \ \ \ \ \ \\ ||\ \ \ \ \ \ \ |\ \ \ \ \ \ \ \ \ \\ \ \ \ \ \\ \ |||||||\ || ||| ||...

NimShellcodeFluctuation

NimShellcodeFluctuation 元のリポジトリのNim移植版： https://github.com/mgeeky/ShellcodeFluctuation すべてのコメントは、元のリポジトリからそのままコピー＆ペーストしました。このテクニックを理解するのに非常に役立ったからです。このテクニック自体の詳細については、元のリポジトリのREADMEを読むことを強くお勧めします！ 依存関係のインストール： root@kitploit: nimble install winim ptrmath...

gopher47

gopher47 The Havoc Framework 用のサードパーティ製 Gopher Assassinです。Havoc Framework まるでビデオゲームみたいだね :D これは何？ 🤔 これはGolangで書かれたHavoc C2用のサードパーティ製エージェントで、主に学習プロジェクトとして書かれましたが、それでも役に立つと確信しています。 これが公開される頃には、これが何なのか、なぜ作ったのかについて私のブログで読むことができます：ここ コントリビューション歓迎！...

voidsyscall

voidsyscall WinAPIゼロ。すべてのNTプリミティブはメモリ内のntdllから実行時に解決され、 SYSCALL命令はPlan9アセンブリスタブを介して直接発行される。インポートテーブルなし、 ntdllのユーザーモードフックに一切触れない。C2はHTTPS / DNS / ICMP経由、メッセージごとに AES-256-GCM。Windowsネイティブ。Linuxビルド。macOSビルド。 これはsyscallラッパーライブラリではない。コードの注入からファイルの読み取り、レジストリへの...

Revenant

Revenant Revenant は、Talon をベースとして C で記述された Havoc 用のサードパーティエージェントです。このインプラントは、隠密な実行方法、堅牢な機能、そしてより高いカスタマイズ性を実装することで、Talon インプラントを拡張することを目的としています。 セットアップ このプロジェクトは、自己完結型の Havoc C2 インプラントを目指しています。エンドユーザー向けの目標機能は以下のとおりです: 注記 2023年8月現在、Havoc 0.6 ではサードパーティエージェントのサポートが壊れました。@C5pider...

BloodfangC2

Bloodfangは、64ビットおよび32ビットのWindowsシステムにコンパイルされる位置独立コードを備えた最新のインプラントです。コンパイルされたインプラントのシェルコードは約6KB（キロバイト）です。メモリ内での実行フットプリントは非常に小さくなっています。 Props to: https://5pider.net/blog/2024/01/27/modern-shellcode-implant-design とはいえ、Bloodfangは開発途中であり、ステルスな実行以外の多くの機能が欠けています。...

CVE-2026-74232 Zbtlink MQWrt yunmgrd Cloud C2 Implant

Zbtlink L3V28 firmware 3.0.0.4.528, Zbtlink WE826-T2 firmware 19.1101, Zbtlink ZBT-7628 firmware 1.0.0.2.007, Zbtlink ZBT-ZBT7621 firmware 1.0.0.3.001, MoreQuick MQAC-7620, MQAC-7620A, MQAP-7620, MQAP-7620A, and MQAP-7628 firmware 1.0.0.2.000, AP522 firmware 1.0.0.2.014, AP7628 and HC5661A firmwa...

CVE-2026-74232

Multiple Zbtlink , MoreQuick , and other router/AP models (e.g., AP522, AP7628, HC5661A, APG721B, HK300, MAP-N10) ship a backdoor C2 implant (yunmgrd) reachable over an unauthenticated cleartext UDP channel to a hardcoded C2 server . A remote unauthenticated attacker on the network path can hijac...

VulnCheck KEV: CVE-2026-74232

Zbtlink L3V28 firmware 3.0.0.4.528, Zbtlink WE826-T2 firmware 19.1101, Zbtlink ZBT-7628 firmware 1.0.0.2.007, Zbtlink ZBT-ZBT7621 firmware 1.0.0.3.001, MoreQuick MQAC-7620, MQAC-7620A, MQAP-7620, MQAP-7620A, and MQAP-7628 firmware 1.0.0.2.000, AP522 firmware 1.0.0.2.014, AP7628 and HC5661A firmwa...

CVE-2026-31976 xygeni-action v5 tag poisoned with C2 backdoor

xygeni-action is the GitHub Action for Xygeni Scanner. On March 3, 2026, an attacker with access to compromised credentials created a series of pull requests 46, 47, 48 injecting obfuscated shell code into action.yml. The PRs were blocked by branch protection rules and never merged into the main...

CVE-2026-31976

xygeni-action is the GitHub Action for Xygeni Scanner. On March 3, 2026, an attacker with access to compromised credentials created a series of pull requests 46, 47, 48 injecting obfuscated shell code into action.yml. The PRs were blocked by branch protection rules and never merged into the main...

CVE-2026-31976 xygeni-action v5 tag poisoned with C2 backdoor

xygeni-action is the GitHub Action for Xygeni Scanner. On March 3, 2026, an attacker with access to compromised credentials created a series of pull requests 46, 47, 48 injecting obfuscated shell code into action.yml. The PRs were blocked by branch protection rules and never merged into the main...