Operando Havoc C2

Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados, engajamentos de equipe vermelha sancionados e educação. Implantar um framework C2 ou seus agentes contra sistemas que você não possui ou para os quais não tem autorização explícita por escrito para testar é ilegal. Opere estritamente dentro de um documento de regras de engajamento assinado.

Visão Geral

Havoc é um framework de comando e controle (C2) moderno e de código aberto criado por @C5pider (https://github.com/HavocFramework/Havoc). Seu implante principal, o Demon, é escrito em C e assembly e foi projetado desde o início para evasão: ele suporta chamadas de sistema indiretas (Hell's Gate / Halo's Gate), spoofing de endereço de retorno e pilha, e técnicas de ofuscação de sono (Ekko / FOLIAGE) que criptografam o agente na memória enquanto ele dorme. O servidor de equipe é o backend que inicia ouvintes, enfileira tarefas, gerencia check-ins de agentes e intermedia conexões de operadores por meio de um WebSocket criptografado. Operadores se conectam com o cliente Havoc, uma GUI Qt.

O comportamento do Havoc é impulsionado por um perfil Yaotl — uma linguagem de configuração derivada do HCL do HashiCorp — que define o servidor de equipe, operadores, ouvintes e padrões do Demon. Como o Havoc foi observado em intrusões reais e é favorecido por seus recursos de evasão, exercitá-lo durante engajamentos autorizados é valioso para emular táticas avançadas de adversários e para testar se EDRs e sensores de rede detectam seu C2 HTTP(S) e técnicas na memória. Esta habilidade abrange a compilação do Havoc, a escrita de um perfil, o lançamento do servidor de equipe, a geração de agentes Demon e a execução de pós-exploração e movimento lateral.

Quando Usar

• Quando um engajamento de equipe vermelha autorizado exigir um C2 evasivo e guiado por GUI
• Ao emular um adversário que usa Havoc/Demon (de acordo com inteligência de ameaças) em um exercício de equipe roxa
• Ao validar a detecção de EDR de chamadas de sistema indiretas, ofuscação de sono e spoofing de pilha
• Ao demonstrar impacto de pós-exploração e movimento lateral para um relatório

Pré-requisitos

• Um host Linux dedicado (Debian/Ubuntu/Kali) para o servidor de equipe
• Go 1.18+ para o servidor de equipe; Python 3.10 e bibliotecas Qt5 para o cliente
• mingw-w64 e nasm para compilação cruzada do Demon para alvos Windows
• Autorização assinada / regras de engajamento

Instale dependências e compile a partir do código-fonte:

# Clone the framework
git clone https://github.com/HavocFramework/Havoc.git
cd Havoc

# Debian/Ubuntu/Kali build dependencies
sudo apt update && sudo apt install -y \
  git build-essential cmake libfontconfig1 libglu1-mesa-dev libgtest-dev \
  libspdlog-dev libboost-all-dev libncurses5-dev libgdbm-dev libssl-dev \
  libreadline-dev libffi-dev libsqlite3-dev libbz2-dev qtbase5-dev qtchooser \
  qt5-qmake qtbase5-dev-tools libqt5websockets5 libqt5websockets5-dev \
  qtdeclarative5-dev golang-go python3.10 python3.10-dev mingw-w64 nasm

# Build the team server
make ts-build

# Build the client
make client-build

Objetivos

• Criar um perfil Yaotl definindo o servidor de equipe, operadores e um ouvinte
• Lançar o servidor de equipe Havoc e conectar com o cliente
• Criar um ouvinte HTTP(S)
• Gerar um agente Demon evasivo (EXE / shellcode) com ofuscação de sono
• Interagir com o Demon e executar comandos de pós-exploração
• Executar assemblies .NET e BOFs na memória
• Pivotar através da cabeça de praia via SOCKS e encaminhamento de porta

Mapeamento MITRE ATT&CK

Técnicas relacionadas exercitadas pelo fluxo de trabalho:

Fluxo de Trabalho

Etapa 1: Escrever um perfil Yaotl

Crie profiles/engagement.yaotl definindo o servidor de equipe, um operador e um ouvinte HTTP. Yaotl é estilo HCL:

Teamserver {
    Host = "0.0.0.0"
    Port = 40056

    Build {
        Compiler64 = "/usr/bin/x86_64-w64-mingw32-gcc"
        Nasm = "/usr/bin/nasm"
    }
}

Operators {
    user "operator1" {
        Password = "ChangeMe_Str0ng!"
    }
}

Listeners {
    Http {
        Name     = "https-listener"
        Hosts    = ["c2.example.com"]
        HostBind = "0.0.0.0"
        PortBind = 443

…