LazyHook

概要 LazyHookは、ホスト型侵入防止システム（HIPS）をバイパスする ステルスAPIフッキングフレームワークで、コールスタックスプーフィングを利用します。CPUレベルのハードウェアブレークポイントとベクタード例外処理（VEH）を活用することで、あたかも信頼されたMicrosoft署名付きモジュールから発信されたかのように任意のコードを実行します。コールスタック検査やモジュール発信元検証に依存する動作解析エンジンを完全に欺きます。 信頼されたMicrosoftコールスタック内で悪意のあるコードを実行して、動作解析を回避する ハードウェアブレークポイント + VEH...

DLLHSC

DLLHSC DLL Hijack SCanner - DLL 検索順序ハイジャックの候補を発見し自動化するためのツール このページの目次 このリポジトリの内容 動作モード コンパイルと実行のガイダンス ヘルプメニュー 実行例 フィードバック このリポジトリの内容 このリポジトリには、ツール DLLHSC の Visual Studio プロジェクトファイル、API フック機能 detour のプロジェクトファイル、ペイロードのプロジェクトファイル、さらに x86 および x64 アーキテクチャ用のコンパイル済み実行ファイル このリポジトリのリリースセクション が含まれています。コードは...

RdpThief

RdpThief RdpThief自体はスタンドアロンのDLLであり、mstsc.exeプロセスにインジェクトされると、APIフッキングを実行し、平文の認証情報を抽出してファイルに保存します。 それに付随するアグレッサースクリプトは、状態管理、新しいプロセスの監視、mstsc.exeへのシェルコードのインジェクトを担当します。DLLはsRDIプロジェクト（https://github.com/monoxgas/sRDI）を使用してシェルコードに変換されています。有効化されると、RdpThiefは5秒ごとにプロセスリストを取得し、mstsc.exeを検索してインジェクトします。...

frida-wshook

frida-wshook frida-wshookは、WScript/CScriptで実行される悪意のあるスクリプトファイルでよく使われる一般的な関数をフックするためにfrida.reを使用する分析・インストルメンテーションツールです。 このツールはWindows API関数をインターセプトし、対象のスクリプト言語内で関数スタブやプロキシを実装しません。これにより、以下のような複数のスクリプトタイプの分析をサポートできます： .js JScript .vbs VBScript .wsf WSFile 初期サポート/テスト中。特定のジョブはサポートしていません...

Introspy-iOS

Introspy-iOS iOSアプリケーションが実行時に行っている動作を理解し、潜在的なセキュリティ問題の特定を支援するブラックボックスツールです。 簡単な紹介は http://isecpartners.github.io/Introspy-iOS/ をご覧ください。 説明 これはIntrospy-iOSトレーサーのリポジトリです。 トレーサーは脱獄済みデバイスにインストールでき、デバイス上で動作するアプリケーションによって呼び出されるセキュリティ上重要なiOS...

NetRipper

説明 NetRipperは、Windowsシステムを対象としたポストエクスプロイテーションツールであり、APIフッキングを使用して、低権限ユーザーからネットワークトラフィックと暗号化関連関数をインターセプトし、平文トラフィックと暗号化トラフィックの両方を、暗号化前/復号後にキャプチャできます。 NetRipperは、ネバダ州ラスベガスで開催されたDefcon 23でリリースされました。 法的免責事項...

RDPCredentialStealer

RDPCredentialStealer RDPCredentialStealerは、C++でDetoursを使用したAPIフックを利用して、RDPでユーザーが入力した資格情報を盗み出すインプラントです。 概念実証ツール — 資格情報の窃取 試してみましょう： まず、GitHubリポジトリのDLLを C:\Users\Public\Music パスに転送します。 次に、RDPコネクタのWindowsアプリケーションを開きます。 そして、GitHubリポジトリ内のEXEを実行します。 RDPサーバーにアクセスしようとすると：...

NoArgs

NoArgs: プロセス引数の操作と隠蔽 Twitter: @AzizWho 免責事項: 教育目的のみ このツールは教育目的のみを意図しています。私は誤用について一切の責任を負わず、すべてのユーザーは適用される法律を遵守する必要があります。違法な使用は禁止されています。 はじめに NoArgsは、検出されずにプロセス引数を動的に偽装・隠蔽するために設計されたツールです。これを実現するために、Windows APIにフックし、Windows内部を動的にその場で操作します。これにより、NoArgsはプロセス引数を目立たないように変更できます。 デフォルトのCmd: Windows イベントロ...

TrickDump

TrickDump TrickDump extrae el proceso lsass sin crear un archivo Minidump, generando en su lugar 3 archivos JSON y 1 archivo ZIP con los volcados de regiones de memoria. En tres pasos: Lock : Obtener información del SO usando RtlGetVersion. Shock : Obtener el privilegio SeDebugPrivilege con...

AV-EDR-Lab-Environment-Setup

AV/EDRラボ環境セットアップ 当初はMaldev Academy Discordから取得し、さらにリソースを追加しました。 Notionノート : https://an0nud4y.notion.site/AV-EDR-Lab-Env-Setup-130bc870022d8071935cc682d3eb34b9?pvs=4 有料EDRが持つ特定の機能をエミュレートするために使用できるものの例: SACL - sysmon https://detect.fyi/sysmon-a-viable-alternative-to-edr-44d4fbe5735a?gi=eb4475ea6b3d...

EUVD-2003-0635

Malware in sbrugna...

NativeDump - Dump Lsass Using Only Native APIs By Hand-Crafting Minidump Files (Without MinidumpWriteDump!)

NativeDump allows to dump the lsass process using only NTAPIs generating a Minidump file with only the streams needed to be parsed by tools like Mimikatz or Pypykatz SystemInfo, ModuleList and Memory64List Streams. NTOpenProcessToken and NtAdjustPrivilegeToken to get the "SeDebugPrivilege"...

CrimsonEDR - Simulate The Behavior Of AV/EDR For Malware Development Training

CrimsonEDR is an open-source project engineered to identify specific malware patterns, offering a tool for honing skills in circumventing Endpoint Detection and Response EDR. By leveraging diverse detection methods, it empowers users to deepen their understanding of security evasion tactics...

BestEdrOfTheMarket - Little AV/EDR Bypassing Lab For Training And Learning Purposes

Little AV/EDR Evasion Lab for training & learning purposes. ️ under construction..​ | | | | | | \ / \ / | | | | | \ / / | | | | | | | | | | | | | | | | | | ' \ / \ | | | /\ \ | | || || | | || | | | | | | | | / |/||/| ||/|| \ /|| || || ||| | / | | | | | | |/| |/ | '| |/ / \ | | | | | | | |...

PyHook - An Offensive API Hooking Tool Written In Python Designed To Catch Various Credentials Within The API Call

PyHook is the python implementation of my SharpHook project, It uses various API hooks in order to give us the desired credentials. PyHook Uses frida to inject it's dependencies into the target process Supported Processes Process | API Call | Description | Progress ---|---|---|--- mstsc |...

DLLHSC - DLL Hijack SCanner A Tool To Assist With The Discovery Of Suitable Candidates For DLL Hijacking

DLL Hijack SCanner - A tool to generate leads and automate the discovery of candidates for DLL Search Order Hijacking Contents of this repository This repository hosts the Visual Studio project file for the tool DLLHSC, the project file for the API hooking functionality detour, the project file f...

RdpThief - Extracting Clear Text Passwords From Mstsc.Exe Using API Hooking

RdpThief by itself is a standalone DLL that when injected in the mstsc.exe process, will perform API hooking, extract the clear-text credentials and save them to a file. An aggressor script accompanies it, which is responsible for managing the state, monitoring for new processes and injecting the...

Detecting Adblocker Blockers

Interesting research on the prevalence of adblock blockers: "Measuring and Disrupting Anti-Adblockers Using Differential Execution Analysis": Abstract: Millions of people use adblockers to remove intrusive and malicious ads as well as protect themselves against tracking and pervasive surveillance...

Windows/x64 - API Hooking Shellcode (117 bytes)

/ Title : Windows x64 API Hooking Shellcode Author : Roziul Hasan Khan Shifat Size : 117 bytes Date : 16/10/2017 Email : email protected Tested On : Windows 7 Ultimate x64 / / This Shellcode hooks DeteleFileW API Warning: Do no Use this Shellcode on explorer.exe Otherwise You won't be able to...

Windows x64 - API Hooking Shellcode (117 bytes)

Windows x64 - API Hooking Shellcode 117 bytes. Shellcode exploit for Winx86-64 platform / Title : Windows x64 API Hooking Shellcode Author : Roziul Hasan Khan Shifat Size : 117 bytes Date : 16/10/2017 Email : [email protected] Tested On : Windows 7 Ultimate x64 / / This Shellcode hooks...