Initial Access dan Delivery

README menyusun daftar tool mengikuti tahapan adversary simulation, dan menyebut bahwa tool di dalamnya berpotensi disalahgunakan oleh threat actor seperti APT dan Human-Operated Ransomware (HumOR) (README.md:3¹). Initial Access dan Delivery tercatat sebagai dua bagian terpisah di Table of Contents (README.md:7-18²). Halaman ini membaca keduanya sebagai satu rantai: kredensial disemprot lebih dulu, payload dibuat, lalu artefak dikirim sampai korban mengklik.

Bentuk data

Semua subbagian di sini berupa tabel Markdown dengan tiga kolom Name, Description, dan URL. Repository ini tidak memuat kode tool, hanya tautan; karena itu halaman ini memetakan peran tiap tool berdasarkan kutipan Description, bukan berdasarkan pemanggilan fungsi.

Initial Access: kredensial lebih dulu

Bagian Initial Access dibuka dengan subbagian Brute Force yang berisi tepat tiga baris (README.md:43-50³). Ketiganya tidak setara: dua menghasilkan kredensial, satu memakainya.

graph LR
  IDP["OWA / S4B / O365 login"] --> SPK["SprayingToolkit"]
  IDP --> CRM["CredMaster"]
  PRX["FireProx API"] --> CRM
  SPK --> CRED["valid credential"]
  CRM --> CRED
  CRED --> REC["o365recon"]
  style IDP fill:#336791,color:#fff
  style CRM fill:#f59e0b,color:#000
  style CRED fill:#2d7d46,color:#fff
  style REC fill:#8b5cf6,color:#fff
%% fig: Jalur Brute Force sampai kredensial sah
%% desc: Dua tool spraying menyerang permukaan login Microsoft, kredensial yang berhasil dipakai o365recon untuk enumerasi lanjutan.

⚠️ CredMaster digambarkan memakai FireProx API untuk memutar alamat IP dan "beat throttling". Artinya endpoint FireProx harus sudah ada sebelum kampanye spraying dijalankan; tanpa itu tool hanya kehilangan lapisan rotasi IP-nya. Menjalankan spraying tanpa rotasi membuat akun target berisiko terkunci dan sumber IP terekspos.

Payload Development: 31 tool dalam satu rantai

Subbagian Payload Development adalah bagian terpadat di halaman ini, dengan 31 baris tool (README.md:52-85⁴). Tool-nya beragam, tetapi semuanya bermuara pada satu jalur: bahan mentah (shellcode, assembly, sumber VBA) diubah menjadi artefak yang bisa dikirim.

graph LR
  RAW["raw shellcode"] --> SHH["Shhhloader"]
  ASM[".NET assembly / EXE / DLL"] --> DON["Donut"]
  VS["VBA source"] --> IVY["Ivy"]
  VS --> MP["macro_pack"]
  MP --> DOC["Office document"]
  XLS["xlsGen"] --> DOC
  DOC --> PCODE["EvilClippy / OfficePurge"]
  DON --> STUB["loader stub"]
  SHH --> STUB
  STUB --> FMT["HTA / JS / VBS / WSF"]
  PCODE --> CHK["ThreatCheck"]
  FMT --> CHK
  CHK --> PHISH["Gophish / Evilginx2 / Modlishka"]
  PHISH --> CLICK["victim click"]
  HOLE["watering hole page"] --> CLICK
  CLICK --> HOOK["BeEF hook"]
  HOOK --> C2["Command and Control"]
  style RAW fill:#336791,color:#fff
  style PCODE fill:#8b5cf6,color:#fff
  style CHK fill:#f59e0b,color:#000
  style PHISH fill:#8b5cf6,color:#fff
  style CLICK fill:#2d7d46,color:#fff
  style HOOK fill:#dc2626,color:#fff
  style C2 fill:#336791,color:#fff
%% fig: Rantai payload development sampai klik korban
%% desc: Shellcode, assembly, dan sumber VBA masuk ke loader atau generator dokumen, melewati gerbang ThreatCheck, lalu dikirim lewat phishing atau watering hole yang berakhir pada klik korban dan hook BeEF.

Pengelompokan berikut memakai kutipan Description apa adanya dari daftar (README.md:55-85⁵); sisanya dapat dibaca langsung di baris yang sama.

ThreatCheck menempati posisi khusus: ia tidak membuat artefak, melainkan menandai byte yang di-flag, sehingga hasilnya menjadi gerbang sebelum artefak dikirim. Beberapa tool lain menyebut evasion secara eksplisit di deskripsinya, misalnya ScareCrow yang "designed around EDR bypass" dan inceptor; teknik evasion-nya dibahas di halaman Defense Evasion.

⚠️ Artefak bawaan sebuah tool belum tentu layak dikirim. DueDLLigence menyebut "The shellcode included in this project spawns calc.exe", jadi shellcode contoh itu harus diganti sebelum payload dipakai pada engagement. Hal yang sama berlaku untuk charlotte yang mendeskripsikan dirinya sebagai "fully undetected shellcode launcher"; klaim pada deskripsi bukan jaminan pada lingkungan target.

Delivery: phishing dan watering hole

Bagian Delivery hanya punya dua subbagian dan enam baris total (README.md:87-101⁶). Subbagian Phishing berisi lima tool (README.md:88-95⁷), sedangkan Watering Hole Attack berisi satu (README.md:97-100⁸).

Pembeda penting ada di lapisan yang diserang. Evilginx2 dan Modlishka bekerja sebagai perantara terhadap sesi dan cookie, sedangkan PwnAuth menyasar persetujuan OAuth; keduanya tidak bergantung pada artifak payload dari bagian sebelumnya. Sebaliknya Gophish adalah kerangka kampanye, sehingga isi email dan lampirannya berasal dari daftar Payload Development.

⚠️ BeEF adalah satu-satunya isi subbagian Watering Hole Attack (README.md:97-100⁸). Artinya daftar ini tidak menyediakan tool untuk mengelola atau menyuntik konten situs yang akan dijadikan watering hole; BeEF hanya menyediakan hook pada browser korban yang sudah terjangkau.

Titik sambung ke halaman lain

• Target dan domain yang dipakai pada bagian ini berasal dari tahap Reconnaissance.
• Staging, redirector, dan hosting artefak dibahas di Command and Control, bukan di sini.
• Kredensial sah hasil SprayingToolkit atau CredMaster menjadi titik masuk bagi Credential Access dan Privilege Escalation.
• Penyamaran artefak di sisi host, termasuk teknik yang disebut pada baris inceptor dan mortar, dibahas di Defense Evasion.