ufi-opserver

implant

tasks pendentes / em-voo

gadget / host USB

clique em status/health

enviar task

Comando

Args (JSON)

fila atual

fila de tasks (batch) enfileira múltiplos comandos — force=true

fila batch vazia

Comando

Args JSON (opcional)

executar PowerShell

Comando PS

screenshot

transferência de arquivos

Download (caminho remoto no Windows)

Upload (caminho local no dongle → remoto)

executar .ps1 já existente no Windows

digitar texto

Texto (suporta tokens: <ENTER> <TAB> <DELAY:500> <CTRL-c> etc.)

tecla / combinação

Modificadores (separar com vírgula)

Tecla alvo

macros pré-definidas

Macro

injetar payload PowerShell via HID

Script PowerShell (codificado automaticamente em base64 UTF-16LE)

sequência customizada

JSON — lista de passos: [{type,text/key/mods/delay_ms/name}]

relatório HID cru / release

8 bytes do report (separados por espaço ou vírgula)

macros disponíveis no firmware

Persistência Java RAT

Instala easypm.jar como "Samsung Easy Printer Manager" no registry HKCU\...\Run

Jar local (opcional)

Exfiltrar Cookies

Baixa *.log de C:\ProgramData\history\ para o dongle

Dir local (opcional)

Extensão Browser

Upload de engine.js + manifest.json para C:\Users\Public\ext

Dir remoto

Executar incluse.ps1 após upload

Limpeza

Remove arquivos do Desktop e %TEMP%

VNC / Java

Abre RealVNC viewer ou lança easypm.jar

Instalar OpenSSH

Baixa e instala OpenSSH do Azure DevOps (requer AZURE_PAT no dongle)

Matar Portas

Termina processos usando as portas informadas

Portas (separar com vírgula)

Shell Probe

Verifica se o agente Windows está respondendo no ACM

status SOCKS5

desconhecido

controle

Endereço de bind (padrão: 127.0.0.1:1080)

como usar

1. Inicie o SOCKS5 no implant selecionado
2. O dongle escutará na porta 1080 via USB
3. Configure seu browser/ferramenta para usar SOCKS5 127.0.0.1:1080
4. O tráfego roteia: Ferramenta → Dongle → ACM → Windows → Internet

Protocolo: SerialMux frames (PKT_CONNECT/DATA/CLOSE) sobre ttyGS1

apelido / identificação

Apelido (local, por operador)

status do beacon

clique em ↻ para consultar o implant

sleep window

O implant hiberna entre start_h e end_h (hora local do dongle, 0-23). Envia task beacon.sleep.

Hora início (0-23)

Hora fim (0-23)

delay / jitter

Intervalo entre ciclos de beacon. Envia task beacon.delay.

Sleep (ms)

Jitter (%)

Failover N

config hosts

Reconfigura os endpoints dos transportes em runtime. Envia task beacon.hosts.

B1 HTTPS (ex: https://c2.example.com)

B3 TCP (ex: c2.example.com:7912)

B2 DNS (zona controlada, ex: b.example.com)

B5 Serial (porta ACM, ex: /dev/ttyGS1)

histórico de checkins

nenhum checkin registrado

⚠ zona de perigo

Selfdestruct: remove config cifrada (.ufi-implant.cfg) e ID persistido (.ufi-id) do dongle, depois encerra o processo do implant. O beacon para de responder permanentemente. Ação irreversível.

console serial ACM

Modo

auto-read

Enviar para o Windows (acm.write)

como usar

Fala direto com o agente que roda no Windows do outro lado do USB.
write → bytes para a porta ACM (o agente executa/roteia).
read → drena e mostra o buffer de entrada.
auto-read → polling de read a cada ~1,2 s.
Porta 0 = shell PS (ttyGS0); porta 1 = mux SOCKS5 (ttyGS1) — escrever na 1 injeta frames SerialMux.

gateway PowerShell (HID → Run → PS → serial)

Script PowerShell (o console codifica em base64 UTF-16LE)

-WindowStyle Hidden

dry-run (não digita)

key_delay_ms (0 = default; ~20-25 recomendado)

wait_run (ms)

wait_ps (ms)

wait_shell (ms)

tail (ms)

o que isto faz

Encadeia a macro completa: Win+R → digita powershell → ENTER → aguarda o shell → injeta o comando codificado em base64 que abre o gateway serial → o agente no Windows lê o payload e passa a responder no ACM (porta 0).
Use preflight antes para checar host_present / HID saudável.
O gateway é headless: a janela PS fica oculta e mantém a COM aberta.