VectorKernel

VectorKernel 커널모드 루트킷 기술 연구 또는 교육을 위한 PoCs. 현재 Windows OS에 초점을 맞추고 있습니다. 모든 모듈은 x64 계열 64비트 OS만 지원합니다. 환경 모든 모듈은 Windows 11 x64에서 테스트되었습니다. 드라이버를 테스트하려면 테스트 머신에서 다음 옵션을 사용할 수 있습니다. 1. 테스트 서명 드라이버 로드 활성화 2. 커널 모드 디버깅 설정 각 옵션은 Secure Boot를 비활성화해야 합니다. 모듈 자세한 정보는 각 프로젝트 디렉터리의 README.md에 제공됩니다. 모든 모듈...

InjectProc

InjectProc 프로세스 인젝션은 코드의 악성 동작을 숨기기 위한 매우 인기 있는 방법이며, 맬웨어 작성자에 의해 널리 사용됩니다. 일반적으로 사용되는 몇 가지 기법이 있습니다: DLL injection, process replacement일명 process hollowing, hook injection 및 APC injection. 대부분의 기법은 동일한 Windows API 함수를 사용합니다: OpenProcess, VirtualAllocEx, WriteProcessMemory, 해당 함수에 대한 자세한 정보는 MSDN...

DumpBrowserSecrets

DumpBrowserSecrets 최신 Chromium 기반 및 Gecko 기반 브라우저Chrome, Microsoft Edge, Firefox, Opera, Opera GX, Vivaldi에서 리프레시 토큰, 쿠키, 저장된 자격 증명, 신용카드, 자동 완성 항목, 방문 기록, 북마크와 같은 브라우저 저장 데이터를 추출합니다. 빠른 링크 Maldev Academy Home Maldev Database Malware Development Course Syllabus Offensive Phishing Operations Cours...

DarkWidow

DarkWidow Windows를 대상으로 하는 사용자 정의 가능한 드로퍼 도구입니다. 감사의 말: 1. BlackHat Asia, 2024 - 도구 제안 요청 2. BlackHat USA, 2024 - 도구 제안 요청 3. BlackHat SecTor, 2024 - 도구 제안 요청 4. BlackHat Europe, 2024 - 도구 제안 요청 5. Wild West Hacking Fest 2024 - Arsenal Soumyadeep Da 일명 @SoumyadeepBas12님께 이 컨퍼런스에 지원하도록 격려해 주셔서 정말...

Sharperner

Sharperner Sharperner 는 CSharp으로 작성된 도구로, AES 및 XOR 난독화된 셸코드를 사용하여 .NET 드로퍼를 생성합니다. 생성된 실행 파일은 서명 검사를 우회할 수 있지만, 휴리스틱 스캐닝을 우회할 수 있을지는 확실하지 않습니다. 기능 PE 바이너리 프로세스 할로잉 PPID 스푸핑 무작위 생성 AES 키 및 IV 최종 셸코드, 키 및 IV는 모스 부호로 변환됩니다 : .NET 바이너리 AES + XOR 암호화된 셸코드 APC 프로세스 인젝션 explorer.exe 무작위 함수 이름 무작위 생성 AE...

edrEvasionWorkshop

edrEvasionWorkshop 「ステップバイステップのマルウェア開発：ローダーからカーネルまでEDRを回避する」 に関するワークショップ資料。DEF CON 34 および BSidesLV 2026 で発表されました。 このワークショップでは、カスタムマルウェア開発、EDRアーキテクチャと回避、C2のカスタマイズ、およびターゲットEDRとして Elastic Defend を使用したカーネルレベルの技術について探求します。 ステップバイステップのマルウェア開発：ローダーからカーネルまでEDRを回避する DEF CON 34 および BSidesLV 2026...

Agent-Tesla-APC-Injection-Token-Manipulation-Registry-Persistence-Analysis

1. ネイティブAPI＆APCインジェクション x64dbgメモリダンプから、Agent Teslaが低レベル操作にネイティブAPI（NT API）呼び出しを使用し、APC（非同期プロシージャコール）インジェクション を含むことが明らかになりました。 確認された主要関数: NtQueueApcThread – APCを介して対象スレッドにコードを注入します。 NtReadVirtualMemory – 他のプロセスのメモリを読み取ります。 NtQuerySystemInformation – システム情報を収集します。 NtCreateThreadEx （存在する可能性が高い）–...

mortar

Mortar Loader 레드 팀 은폐 기술로 보안 제품의 탐지 및 차단을 우회하고 회피합니다. Mortar Loader는 메모리 스트림 내에서 PE/쉘코드의 암호화 및 복호화를 수행하고 여러 인젝션 기술을 활용하여 실행합니다. Mortar는 최신 안티바이러스 제품과 고급 XDR 솔루션을 우회할 수 있으며, 다음 제품들에 대해 테스트 및 우회가 확인되었습니다: Kaspersky ✔️ ESET AV / EDR ✔️ Malewarebytes ✔️ Mcafee ✔️ Windows defender ✔️ Cylance ✔️...

DumpChromeSecrets

!IMPORTANT 이 프로젝트는 더 이상 유지 관리되지 않습니다. 대신DumpBrowserSecrets를 사용하세요. Chrome, Edge, Brave, Firefox, Opera, Opera GX, Vivaldi를 지원합니다. DumpChromeSecrets 최신 Chrome 버전에서 리프레시 토큰, 쿠키, 저장된 자격 증명, 자동 완성 데이터, 방문 기록, 북마크를 포함한 데이터를 추출합니다. 빠른 링크 Maldev Academy 홈 Maldev 데이터베이스 악성코드 개발 과정 강의 계획서 공격적 피싱 과정 강의 계획서...

VortexCry-Ransomware-Release

VortexCry-Ransomware VortexCry は、マルチステージプロセスインジェクション（Process Hollowing や APC Injection など）と、カーネルドライバのロード（CVE-2019-16098 脆弱性を利用）を活用した高度なランサムウェアです。ファイルの暗号化、システム復旧機能の破壊、そして身代金の要求を行うことができます。 VortexCry...

CVE-2026-45313 Sandboxie-Plus: Sandboxie APC Injection Sandbox Escape

Sandboxie-Plus is an open source sandbox-based isolation software for Windows. Prior to 1.17.6, GuiServer::WndHookRegisterSlave in Sandboxie/core/svc/GuiServer.cpp stores attacker-supplied hthread and hproc fields from a GUIWNDHOOKREGISTER request without validating that the thread belongs to the...

CVE-2026-45313

Summary: Sandboxie-Plus on Windows contains a local privilege escalation in GuiServer.cpp prior to v1.17.6. The GuiServer::WndHookRegisterSlave handler stores attacker-supplied hthread and hproc from GUI_WND_HOOK_REGISTER without validating thread belonging to the sandbox or the function pointer’...

Ursnif Malware Banks on News Events for Phishing Attacks

Ursnif aka Gozi, Dreambot, ISFB is one of the most widespread banking trojans. It has been observed evolving over the past few years. Ursnif has shown incredible theft capabilities. In 2020 Ursnif rose to prominence becoming one of the top ten most prolific pieces of malware. Among its core...

New MyloBot Malware Variant Sends Sextortion Emails Demanding $2,732 in Bitcoin

A new version of the MyloBot malware has been observed to deploy malicious payloads that are being used to send sextortion emails demanding victims to pay $2,732 in digital currency. MyloBot, first detected in 2018, is known to feature an array of sophisticated anti-debugging capabilities and...