CVE-2022-25226

ThinVNC 1.0b1 - 認証バイパスによるリモートコード実行 CVE-2022-25226 著者: krill-x7 参照: https://fluidattacks.com/advisories/sinatra 概要 ThinVNC 1.0b1 には認証バイパスの脆弱性 CVE-2022-25226 が存在し、リモートの攻撃者が認証なしでバックエンドとやり取りできるようになります。公開された /cmd エンドポイントを悪用することで、攻撃者はキーストロークのシミュレーション、PowerShell の起動、AMSI...

CheeseTools

CheeseTools このリポジトリは、既存のMiscTool1をベースに作成されています。rasta-mouse氏がツールを公開し、それに取り組む動機を与えてくれたことに大いに感謝します。 CheeseExec PsExecのような機能によるコマンド実行/横移動。特権ユーザーのコンテキストで実行する必要があります。 このツールはrasta-mouseのCsExecをベースにしていますが、サービスの作成において追加の制御を可能にするように設計されています。具体的には: Create サービスが存在するか確認し、存在しなければ作成を試みる Start...

BOF_ExecuteAssembly

BOF Execute-Assembly 用于 Cobalt Strike 的 Beacon 对象文件，可在 beacon 内使用规避技术执行 .NET 程序集。 概述 核心架构 ┌──────────────────────────────────────────────────────────────────────────────┐ │ Cobalt Strike Beacon │ │ Parent Process │ └──────────────────────────────────┬───────────────────────────────────────────┘ │...

Stracciatella

Stracciatella v0.7 C 내부에서 Powershell runspace 일명 SharpPick 기법를 통해 AMSI, ETW, 스크립트 블록 로깅을 비활성화하여 제공합니다. 오늘날 Powershell은 다음과 같은 기술로 심각하게 계측되었습니다: AMSI ETW 스크립트 블록 로깅 기록 파일Transcript 모듈 로깅 제한된 언어 모드Constrained Language Mode 고급 공격자는 정교한 적대적 시뮬레이션 훈련을 수행하기 위해 이러한 노력을 우회할 방법을 찾아야 합니다. 이러한 노력을 돕기 위해 다음...

nimcrypt

nimcrypt Sliverシェルコードローダー。Nimで記述され、Windows x64を対象としています。最も一般的な2つの配信状況に対応した2つのバリアントがあります。Windows Defender（リアルタイム保護有効）でテスト済みです。 バリアント stager 暗号化されたシェルコードブロブをディスクから読み込み、メモリ上で復号し、自己インジェクションします。ファイルドロップのプリミティブが既にあり、小さくシンプルなバイナリが必要な場合に使用します。 loader.exe keyhex ivhex...

NyxInvoke

NyxInvoke NyxInvoke は、.NET アセンブリ、PowerShell コマンド/スクリプト、Beacon Object Files BOF、PE ファイルの実行用に設計された多用途の Rust ベースのツールで、Ntdll Unhooking、パッチレス AMSI、ETW バイパス機能を内蔵しています。スタンドアロンの実行ファイルまたは DLL のどちらとしてもコンパイルできます。 特徴 .NET アセンブリの実行 PowerShell コマンドまたはスクリプトの実行 Beacon Object Files BOF の読み込みと実行 PE ファイル EXE の読み込みと...

dropengine

作者：Twitter @s0lst1c3 現在のリリース：v0.1.0-alpha Python 3.7+ に対応。 概要 防御回避技術は寿命が短い傾向があり、特に初期アクセスで使用される技術ではその傾向が顕著です。そのため、初期アクセス用ペイロードはエンゲージメントごとに準備されることが多く、すべて手作業で作成すると時間がかかります。DropEngine は、シェルコードランナーを作成するための柔軟なフレームワークを提供することでこの問題に対処し、オペレーターがコンポーネントを選択して組み合わせ、数秒で高度なペイロードを作成できるようにします。...

powershell-reverse-tcp

PowerShell リバース TCP リモートホストと通信するためのPowerShellスクリプト。 リモートホストはクライアントとその基盤となるシステムコマンドを完全に制御できます。 以下のシェルを確認してください： Invoke-Expression PowerShell コマンド こちら, プロセスパイプ こちら。 Windows 10 Enterprise OS 64-bit上のPowerShell v5.1.19041.2673でテスト済み。 教育目的で作成されました。お役に立てば幸いです！...

PowerShx

SharpShx DLL이나 독립 실행 파일을 사용하는 비관리형 PowerShell 실행. 소개 PowerShx는 PowerShdll 프로젝트를 재작성하고 확장한 것입니다. PowerShx는 AMSI 우회 및 PS Cmdlet 실행 기능을 제공합니다. 기능 rundll32.exe, installutil.exe, regsvcs.exe, regasm.exe, regsvr32.exe를 사용하여 DLL로 PowerShell 실행 powershell.exe 또는 powershellise.exe 없이 PowerShell 실행 AMSI 우회...

injectAmsiBypass

Cobalt Strike BOF - AMSI 우회 주입 원격 프로세스에서 코드 주입을 통해 AMSI를 우회하는 Cobalt Strike 비콘 오브젝트 파일BOF입니다. CobaltStrike에서 inject-amsiBypass BOF 실행 이 기능은 무엇을 하나요? 1. 제공된 PID 인수를 사용하여 원격 프로세스에 대한 핸들을 얻습니다 hProc = KERNEL32$OpenProcessPROCESSVMOPERATION | PROCESSVMWRITE, FALSE, DWORDpid; 2. AMSI.DLL을 비콘 메모리에 로드하고...

py-amsi

py-amsi py-amsi는 Windows AMSIWindows Antimalware Scan Interface API를 사용하여 문자열이나 파일을 맬웨어 검사하는 라이브러리입니다. AMSI는 Windows에 기본 내장된 인터페이스로, 애플리케이션이 시스템에 설치된 안티바이러스에 파일/문자열 분석을 요청할 수 있게 합니다. AMSI는 Windows Defender에 종속되지 않습니다. 안티바이러스 공급업체는 AMSI 인터페이스를 구현하여 애플리케이션의 호출을 수신합니다. 이 라이브러리는 API를 활용하여 파이썬에서 안티바이러...

AMSI.fail

AMSI.fail 元々はCのAzure Functions（後にJSに移植）で、HTTPトリガーにより、現在のプロセスのAMSIを破壊または無効化する難読化されたPowerShellスニペットを生成します。 スニペットは、難読化される前に少数のテクニック/バリエーションのプールからランダムに選択されます。すべてのスニペットは実行時/リクエスト時に難読化されるため、生成された出力が同じシグネチャを持つことはありません。 ライブで動作するデモは https://amsi.fail/ をご覧ください！ AMSIとは何か？ f-secureが彼らの優れたブログ記事:で説明しているように、...

GoAround

GoAround AMSIバイパスの生成と、3つの異なる難読化手法を使用したPowerShellスクリプトの自動難読化を可能にするツールです。GoAroundはMITライセンスの下でライセンスされています。詳細についてはLICENSEを参照してください。 GoAround 免責事項 インストール ユーザーガイド 使用方法 動作モード バイパスタイプ 難読化手法 使用例 免責事項...

AMSIext

AMSIext AMSIext は、ブラウザから AMSI へ任意のデータストリームを送信できる Firefox および Chrome プラグインです。AMSI は、RAM メモリを Windows Defender（または他のエンドポイントセキュリティシステム）と通信させる方法です。つまり、ウェブを閲覧している間、AMSIext は悪意のある JavaScript、PowerShell、その他何であれ、システム上で実行またはダウンロードされる前に警告します。 AMSI は、Windows 10 においてメモリ内のデータをお好みの AV...

Salsa-tools

/ / / / / / / / \ / / / / / / / / / / / / / / // / // / / / / // / // / //,///,/ // //// Salsa Tools - bellotaソースに浸したAVセーフなリバースシェル Salsa Toolsは、3つの異なるツールを組み合わせたツール群です。PowerShellの実行さえ必要とせず、あらゆるWindows環境で強化されたリバースシェルを取得できます。最新の検出技術（AMSI）を回避するため、ほとんどのコンポーネントはCで記述されています。Salsa...

Nemesis

Nemesis 明日アップデートをプッシュ予定。ライセンス変更と、データスティーラーに対する新たな対策をいくつか追加します。 マルウェアサンプル内で jlaive のフォークを延々と見続けるのに疲れて、実行時に実際に引き裂く公開ツールが何もなかったので作った Windows ツール。 要するに、ネイティブ層で CLR をフックし、リフレクティブアセンブリロードを追跡し、メモリから直接 PE を自動ダンプする .NET プロセスモニタです。また、clr.dll の文字列パッチや直接 LoadFromBuffer の使用などの回避手法を検出しながら、元のディスク上のバイナリに対する AMSI...

wanderer

Wanderer Wanderer는 실행 중인 프로세스에 대한 정보를 수집하는 오픈소스 프로그램입니다. 이 정보에는 무결성 수준, 로드된 모듈로서의 AMSI 존재 여부, 64비트 또는 32비트 실행 여부 및 현재 프로세스의 권한 수준이 포함됩니다. 이 정보는 프로세스 인젝션에 적합한 대상에 맞춰진 페이로드를 구축할 때 매우 유용합니다. 이 프로젝트는 제가 Offensive Security의 PEN-300 과정을 수강하면서 작업하기 시작한 것입니다. 과정에서 가장 마음에 들었던 모듈 중 하나는 프로세스 인젝션 및 마이그레이션...

wanderer

Wanderer Wanderer is an open-source program that collects information about running processes. This information includes the integrity level, the presence of the AMSI as a loaded module, whether it is running as 64-bit or 32-bit as well as the privilege level of the current process. This...

CouchPotato

CouchPotato 検出を避けるため、必ず自分でコンパイルしてください。特定の文字列はコンパイル時にXORされます。これ以上のバイナリは公開しません。 使用方法: CouchPotato.exe ip port ETWとAMSIにパッチを適用し、間接システムコールを使用してSeImpersonatePrivilegeを悪用します。 サービスアカウント || 管理者 - NTシステム...

SharpBlock

SharpBlock エントリポイントの実行を防ぐことで、EDRのアクティブプロジェクションDLLをバイパスする方法。 特徴 EDR DLLのエントリポイント実行をブロックし、EDRフックが配置されるのを防ぎます。 ランタイムでAmsi.dllのコードパッチを検出するスキャナーから検出されない、パッチレスのAMSIバイパス。 ディスク、HTTP、または名前付きパイプ（Cobalt Strike）からロード可能なインプラントPEに置き換えられるホストプロセス。 インプラントプロセスは非表示になり、プロセス空洞化を検出するスキャナーを回避するのに役立ちます。...