Штатный имплант весит как небольшой архив, а CrowdStrike знает
ReflectiveLoader наизусть. Именно тогда садишься писать точечные расширения к зрелым фреймворкам — не новый C2 с нуля.🔧 Три модели расширения на практике:
• BOF для Cobalt Strike — объектный файл 2–10 КБ, исполняется внутри Beacon без нового процесса. EDR не видит паттернов
CreateRemoteThread, BOF отработал и выгрузился• Кастомные агенты Mythic — имплант под профиль операции с нужным транспортом
• gRPC-плагины Sliver — автоматизация lateral movement без правки ядра
⚡ Писать C2 с нуля на двух-трёхнедельный engagement — плохая идея. Зрелые фреймворки дают готовую OPSEC-инфраструктуру, кастомизация закрывает ровно нужную дыру.
Полный разбор с кодом:
https://codeby.net/threads/razrabotka-rasshirenii-c2-freimvorkov-bof-agenty-mythic-i-plaginy-sliver-na-praktike.92700/