CVE-2025-26244

CVE-2025-26244-POC 利用此漏洞的代码见'spoof.go'。它模拟为C2服务器的代理。要利用此漏洞，我们需要知道： 1. 监听器的IP地址和端口 2. 监听器的公钥。 3. 监听器的首次回连URL。 我们可以通过逆向分析操作员之前生成的二进制文件来获取这些信息。 目前，'spoof.go'仅在监听器和代理都使用HTTPS协议时有效，但经过适配后，很可能也能支持DeimosC2支持的其他协议。 利用步骤 1）你需要获取操作员之前生成的HTTPS二进制文件。 2）从二进制文件中提取监听器的IP地址、端口、公钥以及首次回连URL。Trend Micro 提供了相关脚本协助此过...

Exchange_IOC_Hunter

ExchangeIOCHunter 描述： 在 IIS 日志中搜寻 IOC - CVE-2021-26855, CVE-2021-26857, CVE-2021-26858, CVE-2021-27065 支持的项目： C2 IP 地址（用于扫描和利用） 文件名（在利用尝试中观察到的） 远程代码执行（RCE） 用法： root@kitploit: powershell .\ExchangeIOCHunter.ps1 更新： 随着我们的安全参与活动的推进，此仓库将使用新的 IOC 进行更新。...

roundcube-cve-2021-44026

Roundcube CVE-2021-44026，一种 SQL 注入漏洞 本仓库包含一个针对 Roundcube 中的 SQL 注入 的演示利用代码。 免责声明 ： 此代码仅用于教育目的，并协助安全团队识别其 Roundcube 实例中的漏洞。 它只能用于道德黑客活动，其中安全专业人员已获得书面授权，可对范围内的目标进行道德利用。 作者不对滥用或非法使用此利用代码承担任何责任。 用法 root@kitploit: usage: exploit.py -h smtpserver smtpport senderemail senderpassword targetemail c2server...

Havoc-C2-SSRF-to-RCE

Havoc-C2-SSRF-to-RCE 这是 CVE-2024-41570 SSRF PoC 的修改版本，源自 @chebuya，并与 @hyperreality 的 auth RCE 漏洞利用链相结合。该漏洞利用程序通过 Havoc C2 Framework 中的多个漏洞，在远程目标上执行代码。 https://github.com/user-attachments/assets/b75c5934-0326-4994-a695-c18bf95a1e25 root@kitploit: usage: CVE-2024-41570.py -h -t TARGET -i IP -p PORT...

Malleable-C2-Profiles

此存储库没有 README。...

redxor

Linux 恶意软件 C2 'RedXOR'——一个检测示例 此软件包演示了如何使用 Zeek 以基于状态的方法检测 Linux 后门 "redXOR"。 参考链接： Corelight 博客 https://www.intezer.com/blog/malware-analysis/new-linux-backdoor-redxor-likely-operated-by-chinese-nation-state-actor/ 在比传统 IOC（例如 C2 IP、域名和 URI）更低的层级检测威胁，能实现更稳健的检测。这很重要，因为威胁行为者往往可轻松修改这些传统因素（域名/IP/URI...

zeek-spicy-facefish

FacefishRootkit Este analizador Zeek+Spicy detectará el C2 del rootkit Linux Facefish como se describe en: https://blog.netlab.360.com/sshstealerfacefishen/ https://blogs.juniper.net/en-us/threat-research/linux-servers-hijacked-to-implant-ssh-backdoor...

Lumma-Stealer-dllhost-Hollowing-C2-Domains-Payload-Extraction-Analysis

1. Setup.exe – Cadenas de Privacidad, Controladores y Memoria El análisis de memoria con Process Hacker del dropper setup.exe revela que Lumma Stealer apunta a configuraciones de privacidad, instala controladores y gestiona memoria. Cadenas clave observadas: Privacy Camera – Intenta acceder o...

siphondns

SiphonDNS Un PoC para las técnicas descritas en esta investigación. Implementa la exfiltración de datos mediante secciones no estándar de DNS. Servidor: root@kitploit: $ ./siphondns-server -method ecs Starting DNS server cmd id Command received Receiving...

Icedid-file-decryptor

IcedID Decryptor Un script para descifrar estáticamente los archivos license.dat asociados con infecciones de IcedID. El script también descifrará la sección .data de muestras de IcedID desempaquetadas. Notas: El script detectará automáticamente si se ha proporcionado un archivo PE o un archivo...

DarkTortilla-RAT-Telegram-Exfiltration-Payload-Extraction-Analysis

1. Robo de Tarjetas de Crédito – Extracción de Datos de Tarjetas El análisis de memoria con Process Hacker revela que DarkTortilla RAT se dirige a la información de tarjetas de crédito, incluidos números de tarjeta, fechas de vencimiento y tipos de tarjeta. Cadenas Clave Observadas:...

AcrStealer-Custom-Protocol-Credential-Theft-Payload-Extraction-Analysis

1. Conexiones de red y configuración SSL/TLS El análisis de memoria de Process Hacker revela que AcrStealer establece conexiones de red mediante SSL/TLS para comunicarse de forma segura con su servidor C2. Observaciones clave: SslClientCert – Utiliza certificados de cliente para la autenticación...

SliverMirage

SliverMirage Un fork de CrystalSliver, que extiende el cargador PICO de Crystal Palace con bypass de AMSI de doble capa, silenciamiento de ETW y seis variantes de entrega para Sliver C2. Qué hace SliverMirage envuelve un DLL de implante de Sliver mediante la virtualización PICO de Crystal Palace,...

edrEvasionWorkshop

edrEvasionWorkshop Materiales del taller para “Desarrollo de malware paso a paso: Evadiendo EDR desde loaders hasta el kernel” , presentado en DEF CON 34 y BSidesLV 2026. Este taller explora el desarrollo de malware personalizado, la arquitectura y evasión de EDR, la personalización de C2 y...

mythic_ornn

Mythic Ornn Generador impulsado por LLM para Agentes, Payload-Types y Perfiles C2 de Mythic. Los agentes de Mythic son tediosos de escribir a mano: cada uno reimplementa el mismo protocolo de red, el andamiaje de payload-type y la infraestructura de C2. Mythic Ornn omite el código repetitivo...

Rogue ScreenConnect Clients Spread Four-Stage VBScript Chain to Newly Connected Hosts

Cybersecurity researchers have disclosed details of worm-like activity that abuses ConnectWise ScreenConnect to distribute a malicious Visual Basic Script VBScript payload to newly connected systems. According to Huntress, three unrelated incidents have been found to use diverse initial access...

BitLock-Crypto-Research

🛡️ BitLock Framework: 密码病毒学与C2生态系统（概念验证） 本仓库包含一个完整的概念验证（PoC） ，旨在研究现代威胁架构。该项目模拟了一个 无文件 攻击环境，并配备由椭圆曲线密码学和安全擦除协议保护的命令与控制（C2）基础设施。 🔬 攻击生命周期分析 系统通过三个主要模块的协调执行来运行，旨在规避传统防御并确保服务器端密钥的持久性。 1. 易失性渗透（load.py） 攻击始于一个阶段0的Stager 。其主要功能是绕过端点检测与响应（EDR）： 短暂握手： 在RAM中生成唯一的AES-256密钥，并将其传输到端口5001。 有效载荷加密：...

antnium

Antnium root@kitploit: Anti Tanium A C2 framework and RAT written in Go. This source code is publicly published as reference for my presentation Develop your own RAT - AV & EDR Defense. Antnium inteded to fulfill my own requirements, and not those of others. Works for the campaigns i performed, b...

Burp2Malleable

Burp2Malleable Utilidad rápida en Python que escribí para convertir peticiones HTTP de Burp Suite en perfiles Malleable C2 de Cobalt Strike. Permite tomar peticiones capturadas o creadas en BurpSuite o ZAP, POSTMAN, etc. con el aspecto que quieras darle a tu tráfico o con el que quieras...

lldp

lldp Perfil C2 de Mythic para comunicación peer-to-peer a través de IEEE 802.1AB LLDP. Los datos C2 se transportan dentro de TLVs específicos de organización Tipo 127 con un OUI configurable, de modo que las tramas se mezclen con las extensiones LLDP específicas del proveedor en la red. LLDP es...