Transport WireGuard¶

WireGuard fournit un tunnel UDP crypté entre l'implant et le relais. À l'intérieur du tunnel, le protocole HTTP C2 standard fonctionne inchangé, vous offrant une connectivité complète au niveau du réseau avec un cryptage puissant et des capacités de traversée NAT.

graph LR
    subgraph Target Network
        Implant["Implant<br/>10.99.0.2"]
    end
    subgraph Relay
        WG["WireGuard Endpoint<br/>UDP :51820"]
        HTTP["HTTP C2 Server<br/>10.99.0.1:8080"]
    end

    Implant <-->|"WireGuard UDP Tunnel<br/>(Curve25519 + ChaCha20-Poly1305)"| WG
    WG --- HTTP

Cas d'utilisation :

• Accès complet au niveau du réseau via un tunnel crypté
• Traversée NAT où les transports basés sur TCP ne sont pas fiables
• Connectivité IP directe sans surcharge HTTP sur le fil
• Environnements dans lesquels le trafic UDP se mélange mieux que HTTP/HTTPS

Gestion des clés¶

WireGuard utilise les paires de clés Curve25519. Le relais et l'implant ont besoin de leur propre paire de clés. L'API fournit un point de terminaison pratique pour générer les deux paires à la fois.

Générer des paires de clés¶

curl -s -X POST https://stentor.app/api/v1/listeners/wireguard/keygen \
  -H "Authorization: Bearer $TOKEN"

Réponse :

{
  "relay_private_key": "WEhNb3V...<base64>...",
  "relay_public_key": "aGVsbG8...<base64>...",
  "implant_private_key": "c2VjcmV...<base64>...",
  "implant_public_key": "d29ybGQ...<base64>..."
}

Toutes les clés sont des clés Curve25519 codées en base64 (32 octets décodés).

Création d'un listener WireGuard¶

# 1. Generate keys
KEYS=$(curl -s -X POST https://stentor.app/api/v1/listeners/wireguard/keygen \
  -H "Authorization: Bearer $TOKEN")

RELAY_PRIV=$(echo "$KEYS" | jq -r '.relay_private_key')
IMPLANT_PUB=$(echo "$KEYS" | jq -r '.implant_public_key')

# 2. Create listener
LISTENER_ID=$(curl -s -X POST https://stentor.app/api/v1/listeners \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d "{
    \"name\": \"WireGuard Tunnel\",
    \"type\": \"wireguard\",
    \"relay_id\": \"aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee\",
    \"port\": 51820,
    \"wg_private_key\": \"$RELAY_PRIV\",
    \"wg_peer_public_key\": \"$IMPLANT_PUB\",
    \"wg_tunnel_ip\": \"10.99.0.1/24\",
    \"wg_peer_tunnel_ip\": \"10.99.0.2/32\",
    \"wg_c2_port\": 8080
  }" | jq -r '.id')

# 3. Start listener
curl -s -X POST "https://stentor.app/api/v1/listeners/$LISTENER_ID/start" \
  -H "Authorization: Bearer $TOKEN"

Options de configuration¶

Traversée NAT¶

WireGuard utilise la perforation UDP pour la traversée NAT, ce qui le rend efficace dans la plupart des configurations réseau :

• PersistentKeepalive : l'implant envoie des paquets keepalive toutes les 25 secondes (par défaut) pour maintenir les mappages NAT.
• Types de NAT pris en charge : le cône complet, le cône restreint et le NAT restreint au port fonctionnent tous de manière fiable.
• NAT symétrique : peut nécessiter un point de terminaison de relais routable publiquement.

Comment ça marche¶

1. Le relais écoute sur un port UDP public (par exemple, 51820)
2. L'implant initie la poignée de main WireGuard vers le point final du relais
3. Après la poignée de main, les deux parties disposent d'un tunnel avec des adresses IP attribuées (10.99.0.1 et 10.99.0.2).
4. Les paquets Keepalive maintiennent le mappage NAT en vie
5. Le trafic HTTP C2 circule à l'intérieur du tunnel, invisible à l'inspection du réseau

Configuration de la connectivité directe¶

Configuration étape par étape pour un tunnel WireGuard direct implant-relais :

Étape 1 : Générer des paires de clés¶

Utilisez le point de terminaison de l'API keygen pour créer des paires de clés Curve25519 pour le relais et l'implant :

curl -s -X POST https://stentor.app/api/v1/listeners/wireguard/keygen \
  -H "Authorization: Bearer $TOKEN" | jq .

Enregistrez les quatre clés. La clé privée du relais va dans la configuration du listener. La clé privée de l'implant et la clé publique du relais vont dans la configuration de construction de l'implant.

Étape 2 : créer et démarrer le listener¶

Créez le listener WireGuard sur le relais avec la clé privée du relais et la clé publique de l'implant :

curl -s -X POST https://stentor.app/api/v1/listeners \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "WireGuard Tunnel",
    "type": "wireguard",
    "relay_id": "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
    "port": 51820,
    "wg_private_key": "<relay_private_key>",
    "wg_peer_public_key": "<implant_public_key>"
  }'

Étape 3 : Configurer l'implant¶

L'implant nécessite la configuration WireGuard suivante :

Étape 4 : L'implant se connecte¶

Lorsque l’implant démarre, il lance la poignée de main WireGuard. Une fois le tunnel établi, l'implant envoie des requêtes HTTP C2 standard (enregistrement, obtention de la tâche, soumission du résultat) à http://10.99.0.1:8080 à l'intérieur du tunnel.

Comparaison des architectures¶

graph TB
    subgraph HTTPS Transport
        I1["Implant"] -->|"HTTPS (TLS)"| R1["Relay :8443"]
        R1 --> H1["C2 Handler"]
    end

    subgraph WireGuard Transport
        I2["Implant"] -->|"UDP (WireGuard)"| R2["Relay :51820"]
        R2 --> T["Tunnel Network<br/>10.99.0.0/24"]
        T --> H2["C2 Handler<br/>10.99.0.1:8080"]
    end

Configuration des implants¶

Le client WireGuard de l'implant utilise la structure de configuration suivante :

Implémentation de l'espace utilisateur¶

L'implant utilise netstack (pile TCP/IP de l'espace utilisateur) pour faire fonctionner le tunnel WireGuard sans nécessiter de pilotes de noyau ou de privilèges d'administrateur :

• Aucun module WireGuard du noyau n'est nécessaire
• Aucune installation d'adaptateur TUN/TAP requise
• Fonctionne dans l'espace utilisateur -- pas de privilèges spéciaux pour le tunnel lui-même
• Le client HTTP à l'intérieur du tunnel réutilise les points de terminaison C2 standards (/api/v1/c2/beacon, /api/v1/c2/beacon/{id}/task, /api/v1/c2/beacon/{id}/result)

Le côté relais utilise également netstack, créant un listener TCP à l'intérieur du tunnel qui sert le même multiplexeur HTTP C2 utilisé par les listeners HTTP/HTTPS.

Dépannage¶