Agent-Tesla-APC-Injection-Token-Manipulation-Registry-Persistence-Analysis

1. API nativa e inyección APC El volcado de memoria de x64dbg revela que Agent Tesla usa llamadas a la API nativa NT API para operaciones de bajo nivel, incluida la inyección APC llamada a procedimiento asíncrono. Funciones clave observadas: NtQueueApcThread – Inyecta código en un hilo de destino...

DumpBrowserSecrets

DumpBrowserSecrets 从基于Chromium和Gecko的现代浏览器（Chrome、Microsoft Edge、Firefox、Opera、Opera GX和Vivaldi）中提取浏览器存储的数据，例如刷新令牌、Cookie、已保存的凭据、信用卡信息、自动填充条目、浏览历史和书签。 快速链接 Maldev Academy 主页 Maldev 数据库 恶意软件开发课程大纲 攻击性钓鱼操作课程大纲 勒索软件内部原理、模拟与检测课程大纲 工作原理 本项目是 DumpChromeSecrets 的改进版本，同样包含两个组件： 1...

VectorKernel

VectorKernel 针对内核级rootkit技术研究或教育的PoC。 目前专注于Windows操作系统。 所有模块仅支持x64系列64位操作系统。 环境 所有模块均在Windows 11 x64中测试。 要测试驱动程序，测试机可使用以下选项： 1. 启用加载测试签名驱动程序 2. 设置内核模式调试 每个选项都需要禁用安全启动。 模块 每个项目目录中的README.md提供了详细信息。 所有模块均在Windows 11中测试。 模块名称| 描述 ---|--- BlockImageLoad| 使用加载映像通知回调方法阻止驱动程序加载的PoC。 BlockNewProc|...

DarkWidow

DarkWidow 一款面向 Windows 的可定制投递工具。 特别鸣谢： 1. BlackHat Asia, 2024 - 工具征集 2. BlackHat USA, 2024 - 工具征集 3. BlackHat SecTor, 2024 - 工具征集 4. BlackHat Europe, 2024 - 工具征集 5. Wild West Hacking Fest 2024 - Arsenal 非常感谢 Soumyadeep Da 即 @SoumyadeepBas12 鼓励我申请这些会议，否则我不会这么做 : 非常感谢 Faran 即 @Chrollol33t...

Sharperner

Sharperner Sharperner 是一款使用 CSharp 编写的工具，用于生成带有 AES 和 XOR 混淆 shellcode 的 .NET 投放器。生成的执行文件可能绕过签名检查，但我不确定它能绕过启发式扫描。 功能 PE 二进制 进程空洞（Process Hollowing） PPID 欺骗（PPID Spoofing） 随机生成的 AES 密钥和 IV 最终的 Shellcode、密钥和 IV 被转换为摩尔斯电码 : .NET 二进制 AES + XOR 加密的 shellcode APC 进程注入 explorer.exe 随机函数名称 随机生成的 AES 密钥和 ...

InjectProc

InjectProc La inyección de procesos es un método muy popular para ocultar el comportamiento malicioso del código y es muy utilizado por los creadores de malware. Existen varias técnicas que se usan comúnmente: inyección de DLL, reemplazo de procesos también conocido como process hollowing,...

mortar

Mortar Loader 红队规避技术，用于挫败和转移安全产品的检测与防御。Mortar Loader 在内存流中执行 PE/Shellcode 的加密和解密，并利用多种注入技术执行它。 Mortar 能够绕过现代防病毒产品和高级 XDR 解决方案，并已测试并确认绕过以下产品： Kaspersky ✔️ ESET AV / EDR ✔️ Malewarebytes ✔️ Mcafee ✔️ Windows defender ✔️ Cylance ✔️ TrendMicro ✔️ Bitdefender ✔️ Norton Symantec ✔️ Sophos EDR ✔️ 更新功能...

edrEvasionWorkshop

edrEvasionWorkshop Materiales del taller para “Desarrollo de malware paso a paso: Evadiendo EDR desde loaders hasta el kernel” , presentado en DEF CON 34 y BSidesLV 2026. Este taller explora el desarrollo de malware personalizado, la arquitectura y evasión de EDR, la personalización de C2 y...

DumpChromeSecrets

!IMPORTANT This project is no longer maintained. Please useDumpBrowserSecrets instead, which supports Chrome, Edge, Brave, Firefox, Opera, Opera GX, and Vivaldi. DumpChromeSecrets Extract data from modern Chrome versions, including refresh tokens, cookies, saved credentials, autofill data, browsi...

VortexCry-Ransomware-Release

VortexCry-Ransomware VortexCry es un ransomware avanzado que utiliza inyección de procesos en múltiples etapas como Process Hollowing e inyección APC y carga de controladores de kernel mediante la vulnerabilidad CVE-2019-16098. Es capaz de cifrar archivos, destruir las funcionalidades de...

CVE-2026-45313 Sandboxie-Plus: Sandboxie APC Injection Sandbox Escape

Sandboxie-Plus is an open source sandbox-based isolation software for Windows. Prior to 1.17.6, GuiServer::WndHookRegisterSlave in Sandboxie/core/svc/GuiServer.cpp stores attacker-supplied hthread and hproc fields from a GUIWNDHOOKREGISTER request without validating that the thread belongs to the...

CVE-2026-45313

Summary: Sandboxie-Plus on Windows contains a local privilege escalation in GuiServer.cpp prior to v1.17.6. The GuiServer::WndHookRegisterSlave handler stores attacker-supplied hthread and hproc from GUI_WND_HOOK_REGISTER without validating thread belonging to the sandbox or the function pointer’...

Ursnif Malware Banks on News Events for Phishing Attacks

Ursnif aka Gozi, Dreambot, ISFB is one of the most widespread banking trojans. It has been observed evolving over the past few years. Ursnif has shown incredible theft capabilities. In 2020 Ursnif rose to prominence becoming one of the top ten most prolific pieces of malware. Among its core...

New MyloBot Malware Variant Sends Sextortion Emails Demanding $2,732 in Bitcoin

A new version of the MyloBot malware has been observed to deploy malicious payloads that are being used to send sextortion emails demanding victims to pay $2,732 in digital currency. MyloBot, first detected in 2018, is known to feature an array of sophisticated anti-debugging capabilities and...