Давайте познакомимся с C2-фреймворком OnionC2
Основное преимущество
OnionC2 перед аналогами, по мнению автора, — это использование сети Tor для связи сервера и клиента.By utilizing the Tor network, it ensures that communications between the C2 server and remote systems remain secure, anonymous, and available
🔭 Для формирования гипотез обнаружения и Threat Hunting обратим внимание на следующие особенности агента:
🔤 Для проверки реального IP-адреса агент использует сервис
https://checkip.amazonaws.com🔤 Из коробки идет два варианта закрепа - реестр и
Shortcut Takeover🔤Для реестра, стандартно, отслеживаем создание ключей в
*\Software\\Microsoft\\Windows\\CurrentVersion\Run\, имя ключа - Agent 🔤
Shortcut Takeover - для изменения (или создания нового) используется ярлык %USERPROFILE%\Desktop\Microsoft Edge, целевой файл ярлыка - путь до агента, а значение аргумента - --run-lnk, укажет агенту запустить C:\\Program Files (x86)\\Microsoft\\Edge\\Application\\msedge.exe🔤 Для выполнения команд используется
cmd.exe /C#detection@detectioneasy
#ttp@detectioneasy