jm33-m0/emp3r0r

🛰️ emp3r0r: Khung C2 P2P tự phục hồi cho Linux với arv nâng cao

Một khung công cụ khai thác hậu sóng toàn diện dành riêng cho môi trường Linux — không còn coi Linux là phụ trợ.

emp3r0r là một framework khai thác hậu sóng (post-exploitation) được thiết kế từ nền tảng cho Linux. Khác với hầu hết các nền tảng C2 coi Linux là phụ trợ, emp3r0r áp dụng kiến trúc zero-trust với dan tính danh tính mật mã học ngắn ngủi, bảo mật chuyền tin tiến tới (PFS), và mạng lưới P2P tự quản lý cho các hoạt động kiểm tra xâm nhập và red team.

✨ Điểm nổi bật

• Xác thực TOFU bất biến: Dùng Trust-on-first-use (TOFU) kết hợp UUID/public-key pinning khi đăng ký. Nếu UUID lặp lại với khóa khác, kết nối bị từ chối.
• PFS cho toàn bộ truyền thông: Sử dụng trao đổi khóa ECDH với khóa phiên HKDF-derived. Ngăn giới thiệu giải mã lưu lượng trước đó nếu khóa bị đánh cắp.
• Mạng lưới P2P tự phục hồi: Các agent tự động khám phá và tạo tunnel qua peer kết nối internet bằng giao thức gossip (memberlist). Hỗ trợ vận chuyển pluggable: mTLS mặc định và KCP tùy chọn.
• Hoạt động chỉ trong bộ nhớ: Toàn bộ hệ thống tệp và thực thi mô-đun (Bash, Python, Starlark, ELF) diễn ra trong bộ nhớ. Dữ liệu lớn tự động lưu đĩa mã hóa AES-GCM khi hết RAM.
• Scripting Starlark không cần Python: Engine Starlark nhúng trong agent cho phép chạy script Python-like mà không cần cài đặt Python, Bash hay PowerShell trên mục tiêu.
• Hỗ trợ BOF đa nền tảng: Thực thi COFF object trên Windows và ELF object (.o) trên Linux hoàn toàn trong bộ nhớ với cùng schema chuẩn hóa.
• Vận chuyển C2 linh hoạt + JA3 evasion + CBOR: Hỗ trợ kênh C2 pluggable. Trong v4, mặc định là http_poll beacon mode, đồng thời hỗ trợ h2conn stream mode.
• Zero-trust & OPSEC tập trung: Tất cả truy tiếp tuân thủ zero-trust, tránh tạo artifact trên đĩa, tối ưu cho thao tác stealth.

💡 Vì sao đáng chú ý

emp3r0r khác biệt ở chỗ không coi Linux như một nền tảng phụ trợ — mọi tính năng đều được tối ưu riêng cho Linux từ đầu. Với kiến trúc zero-trust, PFS và mạng lưới P2P tự phục hồi, framework này giảm đáng kể sự can thiệp thủ công trong pivoting và duy trì kết nối ổn định ngay cả khi một node gặp sự cố.

Đặc biệt phù hợp cho các nhóm red team cần một nền tảng C2 hoạt động hoàn toàn trong bộ nhớ, tránh phát hiện bởi EDR/forensic, đồng thời hỗ trợ mở rộng qua BOF và scripting linh hoạt trên cả Linux và Windows.

#C2 #PostExploitation #RedTeam #LinuxSecurity #P2PMesh #TiniX