https://cyberveille.ch/tags/lockjaw/ Recent content in Lockjaw on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Fri, 10 Apr 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-04-10-lockjaw-v0-2-15-nouveau-framework-c2-offensif-modulaire-en-rust-zig-pour-red-team/ Fri, 10 Apr 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-04-10-lockjaw-v0-2-15-nouveau-framework-c2-offensif-modulaire-en-rust-zig-pour-red-team/ <h2 id="-contexte">🧩 Contexte</h2> <p>Publié sur GitHub (<a href="https://github.com/g13net/lockjaw)">https://github.com/g13net/lockjaw)</a>, cet article est la documentation officielle de <strong>Lockjaw v0.2.15</strong>, un framework de <strong>command-and-control (C2)</strong> open source à destination des équipes red team et des simulations adversariales. Le projet est en <strong>phase alpha</strong> et n&rsquo;a pas encore fait l&rsquo;objet d&rsquo;une revue de code complète.</p> <h2 id="-architecture">🏗️ Architecture</h2> <p>Lockjaw repose sur une architecture multi-composants :</p> <ul> <li><strong>Teamserver</strong> : écrit en <strong>Rust</strong> (Tokio/Axum/Rustls), gère les checkins agents, la distribution de tâches, les listeners et la persistance via <strong>SQLite</strong>. Intègre un pipeline de cross-compilation à la demande via <strong>Zig</strong>.</li> <li><strong>Implant</strong> : écrit en <strong>Zig</strong>, ciblant <code>x86_64-windows</code>, sans dépendance externe au C-runtime.</li> <li><strong>Stagers</strong> : assembleur x64 position-independent (PIC) et cradles PowerShell.</li> <li><strong>Operator CLI</strong> : interface TUI asynchrone en <strong>Python 3</strong> (prompt_toolkit).</li> </ul> <h2 id="-techniques-dévasion">🛡️ Techniques d&rsquo;évasion</h2> <ul> <li><strong>Indirect Syscalls (Hell&rsquo;s Gate + Halo&rsquo;s Gate)</strong> : extraction des SSNs depuis <code>ntdll.dll</code> en mémoire via hachage DJB2, avec scanning des voisins pour récupérer les syscalls hookés.</li> <li><strong>Ghost AMSI Bypass</strong> : neutralisation d&rsquo;AMSI via <strong>Hardware Breakpoints (DR0/DR7)</strong> et <strong>Vectored Exception Handling</strong>, sans modification de la mémoire <code>.text</code>.</li> <li><strong>IAT-Clean &amp; Dynamic API Resolution</strong> : zéro import statique pour les APIs sensibles, résolution dynamique via parcours du PEB et hachage DJB2.</li> <li><strong>Communications chiffrées RC4</strong> : chiffrement symétrique de toutes les communications agent-teamserver.</li> <li><strong>Self-Destruct</strong> : suppression du binaire via commande détachée asynchrone.</li> </ul> <h2 id="-injection-de-processus">💉 Injection de processus</h2> <ul> <li><strong>Reflective Manual Mapping</strong> (<code>migrate &lt;pid&gt; reflective</code>) : mapping PE dans un processus distant via sections mémoire partagées (<code>NtCreateSection</code> + <code>NtMapViewOfSection</code>), sans <code>NtAllocateVirtualMemory</code>/<code>NtWriteVirtualMemory</code>.</li> <li><strong>PoolParty Injection</strong> (<code>migrate &lt;pid&gt; reflective_poolstomp</code>) : exploitation des worker factories de thread pool (<code>TpWorkerFactory</code>) via <code>NtSetInformationWorkerFactory</code>, sans création de thread distant (contourne Sysmon Event ID 8).</li> </ul> <h2 id="-transports">📡 Transports</h2> <ul> <li><strong>HTTP/HTTPS</strong> : listener Axum/Rustls avec support du <strong>domain fronting</strong> via header <code>Host</code> personnalisé.</li> <li><strong>DNS Tunneling</strong> : tunneling DNS covert via requêtes TXT autoritatives, payload encodé en <strong>Base32 + RC4</strong> dans les sous-domaines.</li> </ul> <h2 id="-post-exploitation">🔧 Post-exploitation</h2> <ul> <li>Exécution de <strong>Beacon Object Files (BOF)</strong> AMD64 en mémoire avec loader COFF intégré.</li> <li>Commandes de reconnaissance : <code>ps</code>, <code>whoami</code>, <code>ipconfig</code>, <code>sc_enum</code>, <code>sc_query</code>, <code>pid</code>.</li> <li>Gestion de fichiers : <code>ls</code>, <code>cat</code>, <code>rm</code>, <code>upload</code>, <code>download</code>.</li> <li>Exécution shell via <code>cmd.exe /c</code> sans fenêtre.</li> </ul> <h2 id="-type-darticle">📌 Type d&rsquo;article</h2> <p>Il s&rsquo;agit d&rsquo;une <strong>publication de nouveaux outils</strong> offensifs open source, dont le but principal est de documenter les capacités et l&rsquo;utilisation du framework C2 Lockjaw pour des opérations red team.</p>