Brute Ratel C4
hackingDéfinition
Brute Ratel C4 (BRC4) est un framework de Command and Control commercial développé par Chetan Nayak (Paranoid Ninja), conçu spécifiquement pour contourner les détections EDR modernes. Contrairement à Cobalt Strike qui a accumulé de nombreuses signatures EDR, BRC4 a été développé en tenant compte des techniques de détection des EDR les plus avancés, rendant sa détection initiale difficile. BRC4 utilise un agent appelé 'Badger' qui implémente des techniques d'évasion avancées nativement : indirect syscalls (via HellsGate/HalosGate), custom heap allocator (pour éviter les allocations mémoire détectables), stack spoofing (masquer la vraie call stack lors d'appels kernel), ETW patching, AMSI patching, et sleep masking avec chiffrement XOR du Badger pendant les périodes de sommeil. Les Badger profiles (équivalents des Malleable C2 Profiles Cobalt Strike) permettent de personnaliser complètement les communications réseau. BRC4 supporte plusieurs protocoles C2 : HTTP/HTTPS avec profiles custom, DNS, Notion API (exfiltration via l'API de Notion pour contourner les restrictions de DLP), et d'autres channels non conventionnels. Peu après son lancement public en 2022, BRC4 a été compromis : des licences crackées ont circulé dans les communautés cybercriminelles, et Palo Alto a documenté des acteurs APT l'utilisant dans des campagnes réelles. Contrairement à Cobalt Strike qui a mis des années à être compromis, BRC4 a été détourné beaucoup plus rapidement, mais sa sophistication technique reste notable. Sa documentation explique ouvertement les techniques d'évasion EDR implémentées, en faisant un outil d'apprentissage autant qu'une plateforme opérationnelle.
Fonctionnement
BRC4 déploie des Badger via différents mécanismes de livraison (shellcode, DLL, PE). L'interface graphique (UI) de BRC4 affiche les sessions actives, permet l'interaction avec chaque Badger, et offre des modules de post-exploitation (reconnaissance, credential access, mouvement latéral). Les Badger profiles sont éditables en JSON/YAML. Le sleep masking chiffre le Badger entre chaque check-in avec une clé XOR générée aléatoirement au déploiement.