Listener QUIC¶

QUIC (HTTP/3) fournit un transport C2 moderne basé sur UDP avec TLS 1.3 intégré, établissement de connexion 0-RTT et migration de connexion. Le trafic QUIC est de plus en plus courant sur Internet (utilisé par Google, Cloudflare, Meta), ce qui en fait un moyen de transport efficace pour se fondre dans le trafic normal.

Architecture¶

QUIC réutilise exactement le même multiplexeur HTTP C2 que les listeners HTTP/HTTPS. La seule différence réside dans la couche de transport : HTTP/3 sur QUIC au lieu de HTTP/1.1 ou HTTP/2 sur TCP. Cela signifie que les profils malléables, l'enregistrement des beacons, la mise en file d'attente des tâches et toutes les opérations C2 fonctionnent de manière identique.

sequenceDiagram
    participant Implant as Implant (Windows)
    participant Relay as Relay C2 Server (Kali)
    participant Backend as Backend API Server

    Implant->>Relay: QUIC/HTTP3 request (UDP, TLS 1.3)
    Relay->>Backend: WebSocket event (beacon registration)
    Backend-->>Relay: WebSocket command (task queue)
    Relay-->>Implant: QUIC/HTTP3 response (task payload)
    Implant->>Relay: QUIC/HTTP3 request (task result)
    Relay->>Backend: WebSocket event (result delivery)

Création d'un listener QUIC¶

API REST¶

curl -s -X POST https://stentor.app/api/v1/listeners \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "QUIC Primary",
    "relay_id": "25b2e4d7-8b7f-411f-8fe0-7faed06b90d1",
    "type": "quic",
    "port": 8443,
    "tls_auto_generate": true
  }' | jq

Démarrer le listener¶

curl -s -X POST "https://stentor.app/api/v1/listeners/$LISTENER_ID/start" \
  -H "Authorization: Bearer $TOKEN"

Options de configuration¶

Prise en charge des profils malléables¶

QUIC prend en charge les profils C2 malléables, tout comme HTTPS. Étant donné que HTTP/3 est toujours HTTP sémantiquement, toutes les transformations HTTP (en-têtes, chemins URI, transformations de corps, codage de métadonnées) s'appliquent au trafic QUIC.

# Create QUIC listener with malleable profile
curl -s -X POST https://stentor.app/api/v1/listeners \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "QUIC Malleable",
    "relay_id": "25b2e4d7-8b7f-411f-8fe0-7faed06b90d1",
    "type": "quic",
    "port": 8443,
    "tls_auto_generate": true,
    "profile_id": "PROFILE_UUID"
  }' | jq

Génération de payload¶

Lors de la génération de payloads pour un listener QUIC, le serveur propage automatiquement la configuration QUIC (IP relais + port d'écoute) à partir du type d'listener. L'interface utilisateur détecte automatiquement le transport à partir de listener.type.

Formats de payload pris en charge : tous les formats prenant en charge HTTPS prennent également en charge QUIC (EXE, DLL, Service DLL, Shellcode, XLL).

# Generate payload for QUIC listener
curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "listener_id": "LISTENER_UUID",
    "format": "exe",
    "arch": "x64"
  }' --output payload.exe

QUIC contre HTTPS¶

Considérations OPSEC¶

Dépannage¶