LazyHook

개요 LazyHook은 호스트 침입 방지 시스템HIPS을 우회 하는 은밀한 API 후킹 프레임워크로, 호출 스택 스푸핑을 통해 동작합니다. CPU 수준의 하드웨어 중단점과 Vectored Exception Handling을 활용하여, 신뢰할 수 있는 Microsoft 서명 모듈에서 발생한 것처럼 임의 코드를 실행합니다. 이는 호출 스택 검사와 모듈 출처 확인에 의존하는 행동 분석 엔진을 완전히 속입니다. 신뢰할 수 있는 Microsoft 호출 스택 내에서 악성 코드를 실행하여 행동 분석을 회피하세요 하드웨어 중단점 + VEH를...

DLLHSC

DLLHSC DLL Hijack SCanner - DLL 検索順序ハイジャックの候補を発見し自動化するためのツール このページの目次 このリポジトリの内容 動作モード コンパイルと実行のガイダンス ヘルプメニュー 実行例 フィードバック このリポジトリの内容 このリポジトリには、ツール DLLHSC の Visual Studio プロジェクトファイル、API フック機能 detour のプロジェクトファイル、ペイロードのプロジェクトファイル、さらに x86 および x64 アーキテクチャ用のコンパイル済み実行ファイル このリポジトリのリリースセクション が含まれています。コードは...

RdpThief

RdpThief RdpThief는 그 자체로 독립형 DLL이며, mstsc.exe 프로세스에 인젝션될 때 API 후킹을 수행하고, 평문 자격 증명을 추출하여 파일에 저장합니다. 이와 함께 제공되는 aggressor 스크립트는 상태 관리, 새 프로세스 모니터링, mstsc.exe에 셸코드 인젝션을 담당합니다. DLL은 sRDI 프로젝트https://github.com/monoxgas/sRDI를 사용하여 셸코드로 변환되었습니다. 활성화되면 RdpThief는 5초마다 프로세스 목록을 가져와 mstsc.exe를 검색하고 인젝션합니다...

frida-wshook

frida-wshook frida-wshook는 frida.re를 사용하여 WScript/CScript로 실행되는 악성 스크립트 파일에서 흔히 사용하는 일반 함수들을 후킹하는 분석 및 계측 도구입니다. 이 도구는 Windows API 함수를 가로채며, 대상 스크립팅 언어 내에서 함수 스텁이나 프록시를 구현하지 않습니다. 이를 통해 다음과 같은 여러 스크립트 유형 분석을 지원합니다: .js JScript .vbs VBScript .wsf WSFile 초기 지원/테스트 중 - 특정 작업 지원 안 함 기본적으로 스크립트 파일은...

Introspy-iOS

Introspy-iOS iOSアプリケーションが実行時に行っている動作を理解し、潜在的なセキュリティ問題の特定を支援するブラックボックスツールです。 簡単な紹介は http://isecpartners.github.io/Introspy-iOS/ をご覧ください。 説明 これはIntrospy-iOSトレーサーのリポジトリです。 トレーサーは脱獄済みデバイスにインストールでき、デバイス上で動作するアプリケーションによって呼び出されるセキュリティ上重要なiOS...

NetRipper

Description NetRipper는 Windows 시스템을 대상으로 하는 사후 익스플로잇 도구로, API 후킹을 사용하여 낮은 권한의 사용자로부터 네트워크 트래픽과 암호화 관련 함수를 가로채며, 암호화 전/복호화 후에 일반 텍스트 트래픽과 암호화된 트래픽을 모두 캡처할 수 있습니다. NetRipper는 네바다주 라스베이거스에서 열린 Defcon 23에서 공개되었습니다. 법적 고지 상호 사전 동의 없이 대상을 공격하기 위해 NetRipper를 사용하는 것은 불법입니다. 최종 사용자는 모든 해당 지역, 주 및 연방 법률을 준...

RDPCredentialStealer

RDPCredentialStealer RDPCredentialStealer는 Detours를 사용한 API 후킹을 통해 C++로 사용자가 RDP에서 제공하는 자격 증명을 탈취하는 임플란트입니다. 자격 증명 탈취를 위한 개념 증명 도구 한번 시도해 봅시다: 먼저 GitHub 저장소의 DLL을 C:\Users\Public\Music 경로로 전송합니다: 이제 RDP 커넥터 Windows 애플리케이션을 엽니다: 그리고 이제 GitHub 저장소에 있는 EXE를 실행합니다: 그리고 rdp 서버에 접속을 시도할 때: 사용자: s12User...

NoArgs

NoArgs: 프로세스 인자 조작 및 숨기기 트위터: @AzizWho 면책 조항: 교육 목적으로만 사용 이 도구는 오직 교육 목적으로만 제공됩니다. 어떤 오용에 대해서도 책임을 지지 않으며, 모든 사용자는 관련 법률을 준수해야 합니다. 불법적인 사용은 금지됩니다. 소개 NoArgs는 탐지되지 않으면서 프로세스 인자를 동적으로 스푸핑하고 숨기도록 설계된 도구입니다. 이 도구는 Windows API에 후킹하여 Windows 내부를 동적으로 조작함으로써 이를 실현합니다. 이를 통해 NoArgs는 프로세스 인자를 은밀하게 변경할 수...

TrickDump

TrickDump TrickDump는 Minidump 파일을 생성하지 않고 lsass 프로세스를 덤프하며, 대신 메모리 영역 덤프가 포함된 3개의 JSON 파일과 1개의 ZIP 파일을 생성합니다. 세 단계로 진행됩니다: Lock : RtlGetVersion을 사용하여 OS 정보를 가져옵니다. Shock : NtOpenProcessToken 및 NtAdjustPrivilegeToken을 사용하여 SeDebugPrivilege 권한을 획득하고, NtGetNextProcess 및 NtQueryInformationProcess로 핸들...

AV-EDR-Lab-Environment-Setup

AV/EDRラボ環境セットアップ 当初はMaldev Academy Discordから取得し、さらにリソースを追加しました。 Notionノート : https://an0nud4y.notion.site/AV-EDR-Lab-Env-Setup-130bc870022d8071935cc682d3eb34b9?pvs=4 有料EDRが持つ特定の機能をエミュレートするために使用できるものの例: SACL - sysmon https://detect.fyi/sysmon-a-viable-alternative-to-edr-44d4fbe5735a?gi=eb4475ea6b3d...

EUVD-2003-0635

Malware in sbrugna...

NativeDump - Dump Lsass Using Only Native APIs By Hand-Crafting Minidump Files (Without MinidumpWriteDump!)

NativeDump allows to dump the lsass process using only NTAPIs generating a Minidump file with only the streams needed to be parsed by tools like Mimikatz or Pypykatz SystemInfo, ModuleList and Memory64List Streams. NTOpenProcessToken and NtAdjustPrivilegeToken to get the "SeDebugPrivilege"...

CrimsonEDR - Simulate The Behavior Of AV/EDR For Malware Development Training

CrimsonEDR is an open-source project engineered to identify specific malware patterns, offering a tool for honing skills in circumventing Endpoint Detection and Response EDR. By leveraging diverse detection methods, it empowers users to deepen their understanding of security evasion tactics...

BestEdrOfTheMarket - Little AV/EDR Bypassing Lab For Training And Learning Purposes

Little AV/EDR Evasion Lab for training & learning purposes. ️ under construction..​ | | | | | | \ / \ / | | | | | \ / / | | | | | | | | | | | | | | | | | | ' \ / \ | | | /\ \ | | || || | | || | | | | | | | | / |/||/| ||/|| \ /|| || || ||| | / | | | | | | |/| |/ | '| |/ / \ | | | | | | | |...

PyHook - An Offensive API Hooking Tool Written In Python Designed To Catch Various Credentials Within The API Call

PyHook is the python implementation of my SharpHook project, It uses various API hooks in order to give us the desired credentials. PyHook Uses frida to inject it's dependencies into the target process Supported Processes Process | API Call | Description | Progress ---|---|---|--- mstsc |...

DLLHSC - DLL Hijack SCanner A Tool To Assist With The Discovery Of Suitable Candidates For DLL Hijacking

DLL Hijack SCanner - A tool to generate leads and automate the discovery of candidates for DLL Search Order Hijacking Contents of this repository This repository hosts the Visual Studio project file for the tool DLLHSC, the project file for the API hooking functionality detour, the project file f...

RdpThief - Extracting Clear Text Passwords From Mstsc.Exe Using API Hooking

RdpThief by itself is a standalone DLL that when injected in the mstsc.exe process, will perform API hooking, extract the clear-text credentials and save them to a file. An aggressor script accompanies it, which is responsible for managing the state, monitoring for new processes and injecting the...

Detecting Adblocker Blockers

Interesting research on the prevalence of adblock blockers: "Measuring and Disrupting Anti-Adblockers Using Differential Execution Analysis": Abstract: Millions of people use adblockers to remove intrusive and malicious ads as well as protect themselves against tracking and pervasive surveillance...

Windows/x64 - API Hooking Shellcode (117 bytes)

/ Title : Windows x64 API Hooking Shellcode Author : Roziul Hasan Khan Shifat Size : 117 bytes Date : 16/10/2017 Email : email protected Tested On : Windows 7 Ultimate x64 / / This Shellcode hooks DeteleFileW API Warning: Do no Use this Shellcode on explorer.exe Otherwise You won't be able to...

Windows x64 - API Hooking Shellcode (117 bytes)

Windows x64 - API Hooking Shellcode 117 bytes. Shellcode exploit for Winx86-64 platform / Title : Windows x64 API Hooking Shellcode Author : Roziul Hasan Khan Shifat Size : 117 bytes Date : 16/10/2017 Email : [email protected] Tested On : Windows 7 Ultimate x64 / / This Shellcode hooks...