Платформа — функция за функцией.

Windows 7–11 и Server на x86 и x64; современные Linux-серверы; NAS со старой glibc; полностью статические сборки для QNAP, Synology и OpenWrt-класса вплоть до ARMv5; macOS на Apple silicon и Intel. Одна линейка агента, один протокол, одна консоль — профиль сборки это решение о хосте, а не об инструментарии.

Каждый клиентский билд структурно уникален. Это свойство тулчейна, а не настройка, которую надо не забыть включить.

Альтернативный имплант для Windows с полным набором команд резидентно в бинарнике. Тот же сервер, те же кампании, та же консоль. Выбирайте его, когда размер не важен и нужно всё локально; выбирайте C-агента, когда нужны модули по требованию или повышение привилегий — оно доступно только для C-агента. Оба работают в одном флоте, бок о бок.

Новые чекины попадают в очередь ожидания, а не во флот. Оператор с нужным грантом допускает агента в кампанию — или отклоняет. Отклонение требует ввода REJECT и окончательно: агент получает приказ на самоуничтожение, а решение логируется, как и всё остальное. Устаревшие и односторонние хосты вычищаются чисто.

Операторы входят с паролем и вторым фактором TOTP — ничего устанавливать, ничего лицензировать на машину, ничего носить с собой. Рабочая станция оператора перестаёт быть инсталляцией и становится креденшелом. Мультиоператорность — не функция, а способ существования продукта: все операторы видят один и тот же флот в одно и то же время.

Панель полностью локализована на английский и русский — каждый вид, каждый диалог, каждая строка аудита. Язык — настройка оператора, а не сервера.

Для команд, которым нужны нативные окна и трей-оповещения, десктоп-клиент — полная нативная переимплементация панели, а не обёртка вокруг веб-вью. Его существование ничего не решает: если возможность недостижима из вкладки браузера, она не поставляется. Заметка N.01 — доктрина; страница консоли — доказательство.

Выдача модуля — это одноразовый токен загрузки, ключ модуля, производный от сессии, потоковая отправка результатов чанками и затирание ключевого материала при выгрузке. Сервер решает, что агент может запросить, по типу агента и платформе. И выдача никогда не называет себя: способные агенты тянут каждый модуль под случайным cover-именем с подходящим content-type, так что запрос выглядит как обычный ассет — шрифт, скрипт, map-файл, — а не как dpapi.dll. Тихий агент почти ничего не несёт — громкий момент это выдача, и она случается один раз, в памяти, под скучным именем.

Там, где загрузчика нет — статические embedded-сборки — тот же набор модулей компилируется внутрь. Одна кодовая база, два решения о линковке, никакого форка возможностей. Таблица бюджета и вся последовательность выдачи — в заметке N.04.

Билдер принимает трафик-профиль на билд, так что одна кампания может выглядеть как облачная телеметрия, а следующая — как инструментарий разработчика, с того же тимсервера. Профили — часть лицензионного материала и поставляются готовыми, а не как шаблоны, которые вы доделываете сами.

Опциональный Cloudflare Worker фронтит тимсервер, и агенты никогда не видят его адрес. Ключи сервера ротируются без пересборки флота. А когда путь домой умирает совсем, Ghost Chain восстанавливает таскинг через блокчейн-резолвер — запасной канал, который лучше никогда не нужен, построенный на день, когда понадобится.

URL стейджера — это токен со счётчиком использований. Отдан один раз — сожжён; сожжён — отвечает так, будто ничего не было. Пулы пейлоадов идут дальше: один URL отдаёт разный билд на каждую доставку, так что найденный образец описывает один артефакт, а не ваш флот.

Разной охране — разные двери. Полное семейство стейджеров — выбор для хостов под CrowdStrike, SentinelOne или Kaspersky; минимальное семейство — меньше, метаморфное, с полностью in-memory вариантом — построено для Symantec, Defender и сред со статическим ML. Матрица покрытия продуктов семействами входит в лицензионное руководство и честно помечает ячейки «проверь сначала».

Маршрутизация — лишь половина дисциплины; вторая половина — измерение. Каждый билд проходит лабораторию оценки — статика, запуск и поведенческие дорожки по всем отслеживаемым семействам движков, — и rev 0328 завершила матрицу без блокирующих вердиктов. Метод — на главной.

Сигнатура, написанная по одному артефакту AXIS, описывает ровно один артефакт. Конвейер мутирует каждый выпускаемый бинарь — полиморфное хеширование API, вариации мусорного кода и секций, паддинг, — а сервер перемутирует каждый отдаваемый артефакт Windows — метку сборки, заголовок происхождения, контрольную сумму, оверлей, — так что два скачивания никогда не делят хеш, даже одной нагрузки. Установщик закрепления идёт дальше: его стаб компилируется на каждую установку, на сервере, со случайной оптимизацией, именами и пулом из 192 комбинаций для регистрируемых имён провайдеров. Исследователи держат в руках образцы — но никогда тот самый образец.

MSI-конвейер упаковывает установку Ghost Stream и подписывает её тем же проходом. Билдер стримит живой лог — профиль, размер, мутации — и хранит историю артефактов, видимую всей команде, а не только оператору, нажавшему «собрать».

BOF изолированы по дизайну: сбой в инструменте возвращается строкой ошибки в рабочем месте, а агент держит сессию. Защита — это и есть функция; большая библиотека — просто приятный бонус.

На хосте, где запуск cmd.exe или powershell.exe — самый громкий ход, Phantom отвечает на команды вообще без создания процесса. Набор из 116 встроенных команд покрывает повседневную работу внутри процесса; управляемый рантайм подгружается лениво, только когда команда действительно этого требует, — сессия, не вышедшая за встроенные команды, не даёт телеметрии загрузки модулей вовсе. В консоли раскрашен, чтобы вы всегда знали, в каком шелле находитесь.

Выполнение наследует токен-контекст, с которым вы его задачили, — шеллы, BOF и модули действуют от выбранной вами идентичности, а не от той, что случайно была у процесса.

Выпускайте стейджеры из CI, сметайте результаты в своё хранилище доказательств, экспортируйте аудит по расписанию, завязывайте завершение сборки на чат, который команда реально читает. Если вам доступна панель — вам доступен и API: тот же origin, тот же креденшел.

# ночная сборка, из cron
curl -sS -X POST "$TS/api/builds" \
  -H "Authorization: Bearer $TOK" \
  -d '{"profile":"windows-x64","traffic":"ms-graph","campaign":"NORTH"}'

# журнал аудита, в хранилище доказательств
curl -sS "$TS/api/audit?campaign=NORTH&format=csv" \
  -H "Authorization: Bearer $TOK" -o north-audit.csv

Исследование директории экспортируется прямо в BloodHound — сбор превращается в граф, который команда уже умеет читать. Журнал аудита экспортируется в CSV для хранилищ доказательств и итоговых отчётов.

Объектный рантайм Beacon-совместим, так что инструментарий сообщества — и ваш собственный — работает без портирования. Цепочка пиров маршрутизируется через SMB named pipes для сегментированных сетей; туннели SOCKS5 и reverse несут остальной ваш набор через агента, который уже на месте.