Operator-Toolkits — Katalog & Referenz.

Toolkit pro Slot — Standard + Fallback

• C2. Standard Sliver (Open Source, modern, robust). Fallback Cobalt Strike (noch die polierte Baseline, IOC-laut). Mythic für Engagements mit modularen Agent-Bedarf.
• Initial Access — Windows. Standard InveighZero für LLMNR/NBT-NS-Responder + ntlmrelayx-Kette. Fallback responder + impacket-ntlmrelayx.
• Credential-Dump — Windows. Standard nanodump (PROCEXP152-Style, umgeht viele EDR-LSASS-Hooks). Fallback secretsdump.py -ntds via VSS-Shadow-Copy auf DC.
• Lateral Movement. Standard WinRM via evil-winrm (am leisesten), dann SMB-Exec via impacket-psexec, letzter Ausweg DCOM via impacket-dcomexec.
• Privilege-Escalation-Enum. Standard winPEAS / linPEAS. Fallback PowerUp.ps1 für Windows-Token-Pfade.
• Exfiltration. Standard DNS über Cloudflare DoH (iodine, custom). Fallback HTTPS zu Angreifer-Domain mit valid Let's Encrypt Cert.

Meterpreter — Kommandos auswendig

• Session-Management. background, sessions -i N, sessions -u N Shell→Meterpreter upgraden, sessions -K alle killen.
• Pivoting. route add 10.10.10.0/24 N, dann auxiliary/server/socks_proxy operator-seitig.
• Post-Module. post/windows/gather/hashdump, post/windows/manage/migrate, post/multi/recon/local_exploit_suggester.
• Nicht. getsystem auf EDR-gehärteten Hosts — jede Technik wird geflagged. Stattdessen credential-basierte Pfade.

PowerShell, die modernes EDR übersteht

• AMSI-Bypass. amsi.dll!AmsiScanBuffer in-Memory patchen bevor Payload geladen wird. Signaturen rotieren; aktuellen Loader nutzen.
• Constrained-Language-Mode-Escape. Signierten Binary finden, der angreifer-kontrollierte DLL lädt (DLL-Hijack via signierte COM-/RunDLL-Oberfläche).
• Vermeiden: Invoke-Expression, DownloadString. Beide ETW-geloggt und signature-matched. Lieber [Reflection.Assembly]::Load([Convert]::FromBase64String(...)) mit rotierter Obfuskation.
• PowerShell-Logging auf Script-Block-Ebene deaktivieren. ETW patchen via ntdll!EtwEventWrite-Hook vor jedem geloggten Kommando.

Linux-Post-Foothold

• Capability-Enum. getcap -r / 2>/dev/null. cap_setuid, cap_dac_read_search, cap_sys_admin sind sofortige Wege zu root.
• SUID-Ketten. find / -perm -4000 -type f 2>/dev/null. Jedes Resultat gegen GTFOBins prüfen.
• Kernel-Exploit-Auswahl. uname -a + linux-exploit-suggester.sh. Nur letzter Ausweg — Kernel-Exploits crashen Hosts, Scope explizit dokumentieren.
• Cron + systemd. cat /etc/crontab /etc/cron.*/* 2>/dev/null; systemctl list-timers. Beschreibbare Cron-Scripts laufen oft genug als root, um zuerst zu prüfen.
• Mount + Path-Injection. mount | grep -v nosuid für fehlende nosuid-Mount-Option; echo $PATH für beschreibbare PATH-Einträge vor Root-Kommandos.