hoaxshell
Generador de payloads de reverse shell para Windows que utiliza protocolo HTTP(S) para establecer conexiones tipo beacon con C2. Escrito en Python, compatible con PowerShell v3+. Requiere obfuscación por detección AMSI desde octubre 2022.
Ficha actualizada 18 sept 2026, 20:05 · upstream 19 ene 2025, 12:29 · release sin release detectada
Qué es hoaxshell
Descripción editorial construida a partir del repositorio, su documentación y sus señales de mantenimiento.
hoaxshell es una herramienta de generación de payloads de reverse shell para Windows que aprovecha el protocolo HTTP(S) para establecer conexiones tipo beacon con un servidor C2. El proyecto está desarrollado en Python y funciona con PowerShell v3.0 o superior. Utiliza cabeceras HTTP personalizadas para transferir información de sesión, lo que permite mantener una apariencia legítima mientras se establece comunicación con el atacante.
La herramienta genera payloads base64 por defecto para facilitar su ejecución, aunque también ofrece opciones para obtener el código crudo. Soporta múltiples configuraciones incluyendo sesiones cifradas con certificados SSL auto-firmados o certificados de confianza, y modos de recuperación de sesión en caso de interrupción del terminal. Incluye soporte para Constraint Language mode y generación de payloads compatibles con herramientas de túnel como ngrok o LocalTunnel.
Es importante destacar que hoaxshell ha sido detectado por AMSI desde octubre de 2022, lo que requiere obfuscación manual o automática para evitar detección por parte de soluciones de seguridad como MS Defender. El proyecto mantiene documentación sobre bypasses de AV con PoCs documentados para múltiples proveedores de seguridad.
- Establecer reverse shell en Windows mediante protocolo HTTP(S) sin necesidad de puertos abiertos
- Recuperar sesiones perdidas usando modo grab session (-g) tras interrupciones del terminal
- Desplegar payloads cifrados con certificados SSL de confianza para reducir detección AV
- Utilizar túneles como ngrok o LocalTunnel cuando no se dispone de IP estática o forward de puertos
- Soporta múltiples opciones de despliegue: HTTP, HTTPS con certificados auto-firmados, y túneles
- Generación automática de valores aleatorios para session id, URL paths y cabeceras HTTP personalizadas
- Documentación extensa con PoCs de bypass AV para SentinelOne, Norton, Bitdefender, McAfee, Kaspersky y Sophos
- Opción de recuperación de sesión (-g) permite reestablecer conexiones activas tras interrupciones
- Soporte para Constraint Language mode (-cm) en víctimas con PowerShell restringido
- No soporta sesiones interactivas: ejecutar cmd.exe o powershell sin parámetros causa hang del shell
- Requiere obfuscación manual o automática por detección AMSI desde octubre de 2022
- Payloads HTTPS con certificados auto-firmados son más detectables y más largos
- Decodificación de stdout limitada en modo constraint language (-cm)
- No incluye Dockerfile ni soporte para despliegue en contenedores
Perfil de infraestructura
Estimación inicial derivada del repositorio y de los servicios detectados.
Despliegue detectado
Qué señales reales de instalación hemos encontrado.
Ejecutar en Kali Linux o entorno similar con Python >=3.6. En víctima, requiere PowerShell v3+. Para producción, usar certificados SSL de confianza (-t) con dominio propio y evitar payloads HTTPS auto-firmados. Obfuscar payloads para evitar detección AMSI/Defender. Verificar rutas absolutas en opción -x antes de ejecutar. No usar contra sistemas sin autorización explícita.
Stack y dependencias
Componentes inferidos a partir de manifests, configuración y documentación.
Experiencia real de la comunidad
Ayuda a contrastar la estimación automática con instalaciones reales.
Todavía no hay datos comunitarios para este proyecto.