Empire C2

Définition

Empire est un framework de post-exploitation PowerShell (puis Python 3 avec BC-Security Empire fork) conçu pour les opérations Red Team. Initialement développé par Will Schroeder (harmj0y) et d'autres membres de l'équipe PowerShell Empire, il est maintenant maintenu par BC Security. Empire se distingue par son accent sur PowerShell et les agents Python, avec des communications chiffrées et des modules de post-exploitation couvrant : la reconnaissance AD (PowerView), l'escalade de privilèges, le credential access (Invoke-Mimikatz), le mouvement latéral, et l'exfiltration. L'architecture comprend un serveur C2, des listeners (HTTP, HTTPS, DNS, Malleable HTTP), et des agents déployés sur les systèmes compromis. L'approche fileless d'Empire (PowerShell en mémoire, pas de binaires sur disque) a fait sa popularité : les agents Empire sont déployés via des one-liners PowerShell (stagers) qui téléchargent et exécutent l'agent entièrement en mémoire, sans toucher le disque. Des stagers variés permettent la livraison via Office macros, HTA, DLL, et scripts réguliers. Empire a été largement utilisé dans des opérations APT réelles : des rapports gouvernementaux ont documenté des groupes APT (dont des acteurs russes et nord-coréens) utilisant des modules Empire dans leurs opérations. Cette notoriété a conduit à l'intégration de signatures Empire dans la plupart des solutions EDR. La version BC Security Empire 4.x a modernisé le framework avec des modules Python 3, une meilleure évasion AMSI, et des intégrations avec des outils comme Covenant, Metasploit et Sliver via des modules de stager communs.