×
v1.0 v2.0 C2 Contacto
RAVENDOOR
raven

Backdoor de alto nivel para sistemas Windows

Rust Backdoor
Windows
v2.0
Private
v1.0
—— Comuniación cifrada · Persistencia · C2
AES-256-CBC · Comms Sigilosas Anti-IDS/IPS
Clave única por víctima. El flujo cifrado evita firmas de red y patrones repetitivos. IV rotatorio en cada handshake, transformando comandos en bytes aleatorios indetectables.
[+] Key derivation: PBKDF2 + unique salt
[+] CBC mode: identical commands → different ciphertext
Persistencia Multi-Mecanismo Registry · Startup · Service
Registro (HKCU\Run), carpeta Startup, tarea programada con SYSTEM, o servicio de Windows. Fallback automático si un método es bloqueado, asegurando reinicio post-reboot.
// auto-elevate & install
if registry_fails: create_scheduled_task()
C2 Python + Telegram Key
Servidor C2 interactivo con gestión multi-cliente. La clave AES se genera y se guarda en %AppData%\Microsoft\Windows\ravendoor_key.txt, enviada automáticamente por Telegram para control remoto.
$ python3 raven_client.py --key [MASTER_KEY]
▶ Clientes conectados: 3 | Shell interactiva cifrada
cifrado
AES-256-CBC en acción · Paquetes cifrados
C2 panel
C2 Panel · Gestión de zombis
v2.0
—— Inyección DLL · Syscalls · Anti-sandbox · Sleep Ofuscación · VPS Server · C2 Web
DLL Injection + Indirect Syscalls NTAPI
Extrae DLL embebida, escribe en disco e inyecta en procesos legítimos (explorer.exe, notepad.exe). Usa indirect syscalls para evadir hooks de EDR. Si falla, recurre a WinAPI.
→ PEB walk → syscall stub inside ntdll → call original
Sleep Obfuscation · Jitter Dinámico
NtDelayExecution + variación de tiempo (jitter). Durante la inactividad, protege memoria crítica con PAGE_NOACCESS y cifra datos sensibles, restaurando al despertar.
sleep_base = 60000 ± random(20000)
VirtualProtect(PAGE_NOACCESS); encrypt_region();
Anti-Sandbox Scoring System
Detección por procesos (vboxservice, vmtoolsd), hardware, memoria reducida, CPU cores, artefactos de registro y debuggers. Puntaje umbral: aborta silenciosamente.
if sandbox_score > THRESHOLD: TerminateProcess()
Dropper & Sideloading
Extrae artefactos ocultos, crea copias de DLLs legítimas para sideloading, limpia rastros y detecta entornos de análisis temprano.
Token Generator · Ofuscación de credenciales
Script Python que ofusca token de Telegram y chat ID en código Rust: capas de XOR, desplazamiento de caracteres, codificación hexadecimal, fragmentación.
python token_gen.py --token BOT_TOKEN --chat CHAT_ID → Rust obfuscated constants
Indirect Syscalls · Full PEB Walk
Localiza ntdll.dll mediante PEB, extrae números de syscall y redirige flujo hacia la instrucción syscall dentro de ntdll, sin imports estáticos.
NtAllocateVirtualMemory, NtWriteVirtualMemory, NtCreateThreadEx
dll injection
Lista de procesos a inyectar
syscalls
DLL Inyectada
inyeccion
Múltiples inyecciones
C2 WEB
—— Panel profesional multi-usuario por roles
C2 Web Panel Multi-Usuario
Además del tradicional C2 CLI, se ha desarrollado un panel web profesional que permite controlar los equipos infectados de forma más flexible mediante un sistema multi-usuario por roles (Administrador y Operador).
El Administrador tiene control total sobre el servidor C2 y puede crear y gestionar operadores, cada uno con su propia clave AES única, lo que garantiza que los operadores solo puedan ver y controlar los clientes que utilizan su clave específica, logrando un completo aislamiento entre diferentes operadores dentro de la misma infraestructura.
[+] Roles: Admin (control total) / Operador (clave única)
[+] Aislamiento completo entre operadores
[+] Gestión de claves AES por usuario
C2 Web Login
Panel de autenticación · Login
C2 Web Dashboard
Dashboard principal · Control de clientes
C2 Web Gestión
Gestión de operadores · Asignación de claves
C2 ARSENAL
—— Command & Control Server · Cliente Rust / Python
C2 Python Multi-Client
Escucha conexiones entrantes, listado de agentes, selección interactiva y envío de comandos con shell remota completamente cifrada con AES-256-CBC.
> clients
[0] 192.168.1.105:54321 | WIN-DESKTOP
[1] 10.0.0.22:49162 | SERVER-CORP
> interact 0 → $ whoami
VPS Server Estratégico
Infraestructura alojada en país con jurisdicción conflictiva, lo que introduce fricción investigativa y demoras a agencias de inteligencia.
CONTACT
—— Developer
r3li4nt.contact@keemail.me

Developer: ~R3LI4NT~