Brute Ratel C4 1.2.2 Badger Shellcode详细剖析

Molecules组织破解了Brute Ratel C4 1.2.2版本，NinjaParanoid追踪了泄露的经过，MdSec开发了Nighthawk C2，Brc4 1.2.2版本有x64和arm64两个版本，只有HTTP Listener和DOH Listener两种Listener，可以添加TCP和SMB的Payload，使用rc4算法解密加密数据，发送上线包到C2，使用Brc4自定义加密算法加密上线包，根据配置文件选择的睡眠混淆方式选择对应的睡眠混淆函数，有131个命令用于和Badger交互，使用SystemFunction036生成16字节的伪随机数用于加密睡眠中badger core dll内存的rc4密钥。