telekinetiC2
Distributed Command & Control Framework · Closed-Source Red Team Tool Dağıtık Komuta Kontrol (C2) Framework'ü · Kapalı Kaynak Red Team Aracı
One-line Summary Tek Cümlelik Özet
A modular, stealth-focused multi-platform Command & Control (C2) framework engineered from scratch with end-to-end binary encryption, decoupled listener infrastructure, and memory-only evasion mechanics. Uçtan uca binary şifreleme, çoklu dinleyici altyapısı ve bellek içi kaçınma mekanizmalarıyla sıfırdan geliştirilmiş, gizlilik odaklı modüler çoklu platform Komuta & Kontrol (C2) framework'ü.
System Profile Sistem Profili
telekinetiC2 was built to explore the deep systems engineering behind adversary simulation: binary wire protocol parsing, memory-only execution, call-stack spoofing, and resilient cross-platform implants. The framework decouples multiple internet-facing "burner" listener servers from backend admin servers through Redis pub/sub, ensuring compromise of an operational listener never exposes central tasking or persistent databases. telekinetiC2, düşman simülasyonlarının arkasındaki derin sistem mühendisliğini incelemek için inşa edildi: binary hat protokolü parse etme, yalnızca bellekte çalıştırma, çağrı yığını taklit etme (call-stack spoofing) ve dayanıklı çapraz platform implantlar. Sistem, internete açık çoklu "burner" dinleyici sunucuları, arka plan yönetim sunucularından Redis pub/sub aracılığıyla ayırır; böylece operasyonel bir dinleyicinin ele geçirilmesi merkezi görevleri veya kalıcı veritabanlarını asla tehlikeye atmaz.
Decoupled Six-Component Topology Altı Bileşenli Ayrık Mimari Topolojisi
Operator Workstation (React 19 SPA)
│ REST API + WebSockets
Admin Server (Go 1.25) ────► PostgreSQL (Storage)
│ Redis Pub/Sub & Queues
Listener Servers (Go 1.25 — Distributed Burner IPs)
▲ Binary Wire Protocol / HTTPS (AES-256-GCM in RSA-4096-OAEP)
│
Agent Implants (C++17 Desktop / Kotlin Android)1. Listener Isolation & Multiplicity: Multiple concurrent listener servers handle registration, beacons, and stage2 downloads across separate burner IP addresses. They maintain ephemeral session AES keys in Redis and publish enriched events to Redis pub/sub. If any individual listener IP is seized or blocked, other listeners remain operational, while backend state and operator credentials remain completely uncompromised.
2. Binary Wire Protocol: Compact little-endian binary envelopes inside AES-256-GCM. Zero JSON field names or recognizable schema signatures on the wire. Fresh 96-bit nonces per message with dynamic session key derivation.
3. Staged Payload Architecture: Stage 1 stager reflectively fetches and executes Stage 2. Stage 2 dynamically loads specialized functional modules from separate in-memory DEX/ELF/PE payloads.
1. Dinleyici İzolasyonu ve Çoklu Dağıtım: Ayrı burner IP adreslerinde çalışan birden fazla eşzamanlı dinleyici sunucu, ajanların beacon ve stage2 indirmelerini yönetir. Geçici oturum AES anahtarları Redis üzerinde tutulur ve ajanların olayları Redis pub/sub'a aktarılır. Herhangi bir dinleyici IP'si engellense bile diğer dinleyiciler çalışmaya devam eder; ana veritabanı ve operatör kimlikleri güvende kalır.
2. Binary Hat Protokolü: AES-256-GCM içinde küçük endian (little-endian) binary zarflar bulunur. Ağ trafiğinde JSON alan adı veya tanınabilir şema imzası bulunmaz. Dinamik oturum anahtarı türetimi ile mesaj başına benzersiz 96-bit nonce.
3. Aşamalı Payload Mimarisi: Stage 1 yükleyici Stage 2'yi bellek içi (reflective) olarak çeker ve çalıştırır. Stage 2 ise özel işlevsel modülleri bellekte ayrılmış DEX/ELF/PE payload'larından dinamik olarak yükler.
In-Memory Evasion & AlertShroud Bellek İçi Kaçınma & AlertShroud
AlertShroud Sleep Obfuscation: Replaces standard beacon sleep with a multi-phase memory quarantine. All agent executable code in the .text section is XOR-encrypted and marked PAGE_READWRITE (stripping execution privileges) for the entire sleep window. Execution is transferred to a dedicated non-encrypted .tcwake segment that uses zero CRT functions or import table thunks.
Call-Stack Spoofing: Prior to entering sleep, the real stack pointer (RSP) is saved to the BSS segment and replaced with synthetic stack frames pointing to legitimate return gadgets inside RtlWaitOnAddress, SleepConditionVariableCS, and BaseThreadInitThunk. The parked thread executes NtWaitForAlertByThreadId with zero unbacked addresses on the unwound stack.
Dynamic Syscalls & IAT Elimination: Windows agent resolves all sensitive APIs at runtime via PEB module walks. System call numbers (SSNs) are resolved dynamically with Halo's Gate fallback, avoiding hooked user-mode DLL routines.
Linux Asynchronous I/O: Implements direct Linux io_uring system calls without external libraries for non-blocking encrypted beaconing and file streaming.
AlertShroud Uyku Gizleme (Sleep Obfuscation): Standart beacon bekleme döngüsünü çok aşamalı bir bellek karantinasıyla değiştirir. .text bölümündeki tüm çalıştırılabilir kod XOR ile şifrelenir ve uyku penceresi boyunca PAGE_READWRITE (çalıştırma yetkisi kaldırılmış) olarak işaretlenir. Kod icrası, sıfır CRT fonksiyonu veya import tablosu kullanan ayrılmış .tcwake segmentine aktarılır.
Çağrı Yığını Taklidi (Call-Stack Spoofing): Uykuya geçmeden önce gerçek yığın işaretçisi (RSP) BSS segmentine kaydedilir ve RtlWaitOnAddress, SleepConditionVariableCS ve BaseThreadInitThunk içindeki meşru return gadget'larına işaret eden sahte stack frame'leri ile değiştirilir. Park edilen thread, unwound stack üzerinde bellek dışı iz bırakmadan NtWaitForAlertByThreadId çalıştırır.
Dinamik Syscall & IAT Temizliği: Windows ajanı tüm hassas API'leri PEB yürüyüşü ile çalışma zamanında çözer. Sistem çağrı numaraları (SSN) Halo's Gate mimarisi ile dinamik olarak çözülerek hook'lanmış kullanıcı modu DLL'leri atlatılır.
Linux Asenkron I/O: Herhangi bir engelleme olmadan şifreli beacon ve dosya aktarımı için, harici kütüphanelere ihtiyaç duymadan doğrudan Linux io_uring sistem çağrılarını kullanır.
Project Screenshots & Schemas Proje Ekran Görüntüleri & Şemalar
Authentic operational screenshots from the telekinetiC2. Click to inspect. telekinetiC2 mimari makalesinden orijinal operasyonel ekran görüntüleri. Büyütmek için tıklayın.
