Command and Control

Bagian Command and Control adalah bagian terbesar kedua di README setelah daftar payload. README membuka bagian ini pada README.md:102¹, lalu memecahnya menjadi tiga subjudul berbentuk tabel tanpa narasi penghubung: Remote Access Tools (RAT) README.md:104², Staging README.md:127³, dan Log Aggregation README.md:146⁴. Dokumentasi ini membaca ketiga tabel itu sebagai satu topologi, bukan tiga daftar terpisah.

Isi ketiga tabel: 19 framework implant README.md:107-125⁵, 15 tool staging dan redirector README.md:130-144⁶, serta 3 tool log aggregation README.md:149-151⁷. README sendiri menaruh peringatan di depan: tool di daftar ini "could be potentially misused by threat actors such as APT and Human-Operated Ransomware (HumOR)" README.md:3⁸.

Topologi: team server, redirector, implant, dan kanal logging

graph LR
  OP["Operator client<br/>SharpC2 .NET MAUI client"] --> TS["Team server<br/>Sliver / PoshC2 / AdaptixC2"]
  TS --> RD["Redirector<br/>RedWarden / RedGuard"]
  RD --> IM["Implant<br/>Mutual-TLS / HTTP(S) / DNS"]
  IM --> LG["Log pipeline<br/>RedELK / RedEye"]
  ST["Staging host<br/>pwndrop / skyhook"] --> IM
  AZ["Cloud relay<br/>AzureC2Relay / CobaltBus / GraphStrike"] --> RD
style TS fill:#336791,color:#fff
style RD fill:#f59e0b,color:#000
style AZ fill:#f59e0b,color:#000
style IM fill:#2d7d46,color:#fff
style ST fill:#8b5cf6,color:#fff
style LG fill:#8b5cf6,color:#fff
%% fig: Topologi team server, redirector, implant, dan kanal logging
%% desc: Operator memerintah lewat team server, traffic melewati redirector atau relay cloud, implant mengeksekusi perintah, dan pipeline logging menampung artefak operasi.

Setiap node di diagram itu punya padanan entri. Team server: SharpC2 disebut terdiri dari "an ASP.NET Core Team Server, a .NET Framework implant, and a .NET MAUI client" README.md:122⁹, sedangkan AdaptixC2 menulis "The Adaptix server is written in Golang" README.md:124¹⁰. Redirector: RedWarden adalah "Flexible CobaltStrike Malleable Redirector" README.md:134 dan RedGuard adalah "C2 front flow control tool" README.md:142. Implant: Sliver mendukung "C2 over Mutual-TLS, HTTP(S), and DNS" README.md:117. Kanal logging: RedELK adalah "Red Team's SIEM" README.md:149 dan RedEye adalah "visual analytic tool supporting Red & Blue Team operations" README.md:151.

Framework implant dan RAT

Tabel pertama memuat 19 framework. Kolom terakhir menunjuk baris README yang menjadi sumbernya.

Pola yang terbaca dari kolom kedua: sebagian besar entri menyebut bahasa atau runtime implementasinya sendiri (Go pada merlin README.md:113²², Nim pada Nimhawk README.md:125³¹, C# pada SharpC2 README.md:122, Python pada SILENTTRINITY README.md:118), dan sebagian menyebut model transport sebagai pembeda utama. Entri yang memakai ELK di sisi output, yaitu SpecterInsight README.md:108, menjadi jembatan alami ke subbagian Log Aggregation.

⚠️ Tiga entri tidak menunjuk ke repository publik, melainkan ke situs vendor: cobaltstrike.com README.md:107¹⁶, bruteratel.com README.md:109¹⁸, dan practicalsecurityanalytics.com README.md:108¹⁷. Ketiganya produk berlisensi, sehingga tidak bisa diperiksa sebagai source code seperti entri lain di tabel.

Staging dan redirector

Subbagian kedua memuat 15 tool. Rantainya bisa dibaca sebagai penyiapan profile, pemilihan domain, penyaringan request, dan penempatan payload.

graph LR
  PR["C2 profile<br/>C2concealer / SourcePoint"] --> RD["Redirector<br/>RedWarden / RedGuard"]
  DM["Frontable domain<br/>FindFrontableDomains / Domain Hunter"] --> RD
  RD --> TG["Target host"]
  HO["Payload hosting<br/>pwndrop / skyhook"] --> TG
  RD --> TS["Team server"]
style PR fill:#f59e0b,color:#000
style DM fill:#f59e0b,color:#000
style RD fill:#f59e0b,color:#000
style HO fill:#8b5cf6,color:#fff
style TS fill:#336791,color:#fff
style TG fill:#2d7d46,color:#fff
%% fig: Rantai staging dari profile sampai target
%% desc: Profile dan domain disiapkan lebih dulu, redirector menyaring request dari target, sementara payload diambil dari staging host terpisah.

Tabelnya, dengan baris README sebagai rujukan:

Dua kelompok di tabel ini saling melengkapi. Kelompok pertama menghasilkan konfigurasi: C2concealer README.md:131³³, SourcePoint README.md:141⁴², dan dokumen desain Malleable C2 README.md:138. Kelompok kedua memutuskan request mana yang diteruskan: RedWarden README.md:134, RedGuard README.md:142, redirect.rules README.md:139, dan AzureC2Relay README.md:135. Penyamaran di lapisan proxy ditangani Chameleon README.md:137, sedangkan pemilihan nama domain ditangani FindFrontableDomains README.md:132 dan Domain Hunter README.md:133.

⚠️ AzureC2Relay memvalidasi request "based on a Cobalt Strike Malleable C2 profile" README.md:135³⁶. Profile dan relay karena itu terikat sebagai satu pasangan deploy: mengganti profile berarti mengganti aturan validasi di relay. Hal yang sama berlaku untuk jalur cloud: CobaltBus mengirim traffic C2 lewat Azure Service Bus README.md:140⁴¹ dan GraphStrike lewat Microsoft Graph API README.md:144⁴⁴, sehingga jalur itu bergantung pada tenant cloud yang dipakai operasi.

Sisa tool di subbagian ini menyediakan kanal alternatif dan hosting artefak: C3 untuk kanal esoterik README.md:136³⁷, skyhook untuk transfer file yang lolos IDS README.md:143⁴³, dan pwndrop untuk hosting payload sendiri README.md:130³².

Log aggregation

Subbagian ketiga adalah yang paling kecil: 3 entri.

Perannya berbeda dari dua subbagian sebelumnya: tool di sini tidak membuka kanal, melainkan menyimpan dan membaca ulang jejak operasi. SpecterInsight di tabel RAT sudah menyebut pola yang sama, yaitu output perintah berbentuk JSON yang diekspor ke ELK README.md:108¹⁷. Elastic for Red Teaming menyediakan bahan konfigurasi README.md:150⁴⁵, sedangkan RedELK dan RedEye berada di sisi pembacaan README.md:149¹⁴, README.md:151¹⁵.

Kaitan ke halaman lain

Tool di bagian ini dipanggil dari halaman lain. Payload yang dikirim ke implant disusun pada Initial Access dan Delivery. Perintah yang dijalankan setelah implant aktif ada di Situational Awareness dan Credential Access dan Privilege Escalation. Malleable profile, Chameleon, dan skyhook bersinggungan dengan Defense Evasion. Traffic yang keluar lewat kanal C2 dibahas lagi di Lateral Movement, Tunneling, dan Exfiltration. Jalur Azure Service Bus dan Microsoft Graph API bersinggungan dengan Cloud dan AI Red Teaming. Aturan penulisan tabel Name, Description, dan URL yang dipakai ketiga subbagian dijelaskan di Struktur Daftar dan Konvensi Penulisan.