de4dot

説明 de4dot は、C で書かれたオープンソース GPLv3 の .NET 難読化解除ツール兼アンパッカーです。パックおよび難読化されたアセンブリを、可能な限り元のアセンブリに近い状態に復元しようとします。ほとんどの難読化は完全に復元できますが 例: 文字列暗号化、シンボル名のリネームは、元の名前が 通常 難読化されたアセンブリに含まれていないため、復元できません。 アセンブリの読み書きには dnlib を使用しているため、必ず入手してください。入手しないとコンパイルできません。 バイナリ バイナリはビルドサーバーから入手してください 。 無料ですがサポートは一切ありません...

BOF_ExecuteAssembly

BOF Execute-Assembly Cobalt Strike の Beacon Object File で、.NET アセンブリを回避技術とともに Beacon 内で実行します。 概要 コアアーキテクチャ root@kitploit: ┌──────────────────────────────────────────────────────────────────────────────┐ │ Cobalt Strike Beacon │ │ 親プロセス │...

donut

현재 버전: v1.1 목차 1. 소개 2. 작동 방식 3. 빌드 4. 사용법 5. 하위 프로젝트 6. Donut을 이용한 개발 7. 질문 및 토론 8. 면책 조항 1. 소개 Donut 은 VBScript, JScript, EXE, DLL 파일 및 dotNET 어셈블리를 메모리에서 실행할 수 있게 해주는 위치 독립적 코드입니다. Donut으로 생성된 모듈은 HTTP 서버에서 스테이징하거나 로더 자체에 직접 포함시킬 수 있습니다. 모듈은 선택적으로 Chaskey 블록 암호와 128비트 무작위 생성 키를 사용하여 암호화됩니다. 파일...

Get-PDInvokeImports

Get-PDInvokeImports 설명: Get-PDInvokeImports는 어셈블리에서 P/Invoke, Dynamic P/Invoke 및 D/Invoke 사용을 자동으로 감지할 수 있는 도구PowerShell 모듈입니다. 참조된 모든 위치를 표시하고 DnSpyBookmarks.xml로 내보냅니다. 이 PS 모듈은 .NET 어셈블리 리버싱 중에 어셈블리에서 사용되는 관리되지 않는 API 함수 호출을 빠르게 식별하는 데 유용하고 도움이 될 수 있습니다. 때때로 악성 코드 어셈블리는 정크 코드로 가득 차 있으며 주요 기능은...

inject-assembly

inject-assembly - Execute .NET in an Existing Process This tool is an alternative to traditional fork and run execution for Cobalt Strike. The loader can be injected into any process, including the current Beacon. Long-running assemblies will continue to run and send output back to the Beacon,...

CustomLoadImage

CustomLoadImage CustomLoadImage は、.NETアセンブリのステルス的なリフレクティブロードを可能にします。 これは、AssemblyNative::LoadFromBuffer を直接呼び出すことで行われ、RuntimeAssembly.nLoadImage に仕掛けられたフックが実行されないことを保証します。 このプロジェクトが役に立った場合は、スターをよろしくお願いします。...

route-sixty-sink

✏️ Colaboradores Dillon Franke @dillonfranke Michael Maturi @a-marionette 📝 Blog https://www.mandiant.com/resources/route-sixty-sink-launch ⚓ Route Sixty-Sink Route Sixty-Sink es una herramienta de código abierto que permite tanto a defensores como a investigadores de seguridad identificar...

ModernLoader delivers multiple stealers, cryptominers and RATs

By Vanja Svajcer Cisco Talos recently observed three separate, but related, campaigns between March and June 2022 delivering a variety of threats, including the ModernLoader bot, RedLine information-stealer and cryptocurrency-mining malware to victims. The actors use PowerShell, .NET assemblies,...

ExecuteAssembly - Load/Inject .NET Assemblies

ExecuteAssembly is an alternative of CS execute-assembly, built with C/C++ and it can be used to Load/Inject .NET assemblies by; reusing the host spawnto process loaded CLR Modules/AppDomainManager, Stomping Loader/.NET assembly PE DOS headers, Unlinking .NET related modules, bypassing ETW+AMSI,...

Donut - Generates X86, X64, Or AMD64+x86 Position-Independent Shellcode That Loads .NET Assemblies, PE Files, And Other Windows Payloads From Memory

Donut generates x86 or x64 shellcode from VBScript, JScript, EXE, DLL including .NET Assemblies files. This shellcode can be injected into an arbitrary Windows processes for in-memory execution. Given a supported file type, parameters and an entry point where applicable such as Program.Main, it...

RemoteRecon - Remote Recon And Collection

RemoteRecon provides the ability to execute post-exploitation capabilities against a remote host, without having to expose your complete toolkit/agent. Often times as operator's we need to compromise a host, just so we can keylog or screenshot or some other miniscule task against a person/host of...

Bring Your Own Land (BYOL) – A Novel Red Teaming Technique

Introduction One of most significant recent developments in sophisticated offensive operations is the use of “Living off the Land” LotL techniques by attackers. These techniques leverage legitimate tools present on the system, such as the PowerShell scripting language, in order to execute attacks...