TelemetrySourcerer

Telemetry Sourcerer 简介 Telemetry Sourcerer 可以枚举并禁用 Windows 上 AV/EDR 常用的遥测来源。 红队人员和安全爱好者可以在实验环境中使用此工具来： 识别目标产品基于收集的盲点。 确定哪些遥测来源生成特定类型的事件。 验证使用该工具的篡改功能是否会导致检测。 有关构建私有实验环境的详细信息，请参阅我关于 将 EDR 遥测转向私有基础设施 的文章。 OPSEC 警告 ：虽然可以在目标环境中使用此工具，但直接使用任何进攻性安全工具都存在 OPSEC 风险。建议将本项目的代码集成到您自己的工具中，并结合其他技术来减少其产生的痕迹。 功能...

VEN0m-Ransomware

VEN0m 勒索软件 https://github.com/user-attachments/assets/5a1fc9b5-a647-41f6-a152-7b9d97381adc 本项目演示了如何利用一个合法且已签名的驱动程序来武器化，从而规避防御并部署勒索软件，模拟真实的网络攻击。 🚨 已在 Windows 11 Pro 24H2 上进行测试。自初始发布日（2026-02-23）起完全无法检测。 | 规避| UAC 绕过 ---|---|--- BitDefender| ✅| ✅ Kaspersky| ✅| ✅ MS Defender| ✅| ❌ 主要特点 AV/EDR 规避：...

UnhookMe

UnhookMe - 动态解除挂钩的导入解析器 在侵入性防病毒软件和EDR引入热补丁以增强其监控能力的时代，现代对手必须拥有强大的工具来绕过这些看守。这里提出的动态导入解析器实现，能够即时解除所用函数的挂钩，是加强对手韧性努力的又一步。 我在这里提出的解决方案是，从使用链接器解析的WinAPI导入（在编译后可执行文件的PE头中可见，特别是导入地址表）转向完全动态的方法，仅以动态方式解析导入。这种动态解析器可以配备在后台运行的解除挂钩逻辑，无需操作员任何指导。 最简单的使用示例 以下是如何确保以解除挂钩、不受监控的方式调用MessageBoxW： RESOLVEuser32,...

blindsight

blindsight "There's no such things as survival of the fittest. Survival of the most adequate, maybe. It doesn't matter whether a solution's optimal. All that matters is whether it beats the alternative." -- Peter Watts, Blindsight 2006 Red teaming tool to dump LSASS memory, bypassing basic...

PythonMemoryModule

PythonMemoryModule 纯Python实现的MemoryModule技术，可完全从内存加载dll或非托管exe "Python memory module" AI生成图片 - hotpot.ai 这是什么 PythonMemoryModule是Joachim Bauch原创的MemoryModule技术的Python ctypes移植版。它可以使用Python加载dll或非托管exe，无需外部库（pyd），并（部分）支持命令行参数传递。...

RustyWater-ShellCode-Dropper

RustyWater ShellCode Dropper RustyWater 代表整个 Static Kitten 组织攻击行动中的主要载荷和骨干。 RustyWater 是一个 Rust 编译的可执行文件（伪装成 reddit.exe，带有虚假的 Cloudflare 图标），被称为 RustyWater（或与 Archer RAT / RUSTRIC 关联），具有强大的 AV/EDR 绕过能力，通过进程注入和基于注册表的持久化实现。 1 - 反分析 Reddit.exe 实现了一个全面的 8...

Skrull

Skrull Skrull 是一款恶意软件 DRM，可防止 AV/EDR 自动提交样本以及内核级签名扫描。它使用进程幻影（Process Ghosting）技术生成能在受害者机器上运行恶意软件的加载器。此外，这些加载器完全防复制，且在提交时自然损坏。 这是 ROOTCON & HITCON 2021 演讲的概念验证，请查看 Skrull Like A King: From File Unlink to Persistence 和 Skrull Like A King：從重兵看守的天眼防線殺出重圍 : 注意：由于幻影技术，目前仅支持 x64 PE。 视频演示...

ShellGhost

ShellGhost 一种基于内存的规避技术，使 shellcode 从进程开始到结束均不可见。 动机 我想分享这个 shellcode 自注入 POC，以展示一些可能对红队有用的 AV/EDR 规避概念。就在几周前，我想出了一种自定义的内存规避技术，我称之为 ShellGhost。这项技术源于对 一段从进程开始到结束执行‘不可见’ shellcode 的代码 的需求。 处理线程执行流 ShellGhost 依赖于向量异常处理与软件断点的结合 ，以循环方式停止线程执行，用 RC4 加密的 shellcode 指令替换已执行的断点，解密指令，并在恢复内存保护至 RX 后恢复执行。当后续的...

RefleXXion

简介 RefleXXion 是一款旨在帮助绕过 AV/EPP/EDR 等安全产品所实施用户态钩子的工具。为了绕过用户态钩子，它首先收集 LdrpThunkSignature 数组中的 NtOpenFile、NtCreateSection、NtOpenSection 和 NtMapViewOfSection 系统调用编号。之后，用户可以选择两种技术来绕过用户态钩子。 技术一：从 C:\Windows\System32\ntdll.dll 文件中读取 NTDLL。解析后，用干净的 NTDLL 的 .TEXT 段替换内存中已加载的 NTDLL（即钩子所在位置）的 .TEXT 段。...

SysWhispers4

SysWhispers4 通过直接和间接系统调用实现 AV/EDR 规避 Windows NT 3.1 至 Windows 11 24H2 · x64 · x86 · WoW64 · ARM64 SysWhispers4 是一个基于 Python 的系统调用存根生成器，可生成 C/ASM 代码，直接调用 NT 内核函数，绕过 AV/EDR 产品在 ntdll.dll 上放置的用户态挂钩。 它继承了 SysWhispers → SysWhispers2 → SysWhispers3 的演进脉络，这一版本新增了迄今最全面的 SSN 解析策略、调用方法和规避能力。 演进：SysWhispers...

DllNotificationInjection - A POC Of A New "Threadless" Process Injection Technique That Works By Utilizing The Concept Of DLL Notification Callbacks In Local And Remote Processes

DllNotificationInection is a POC of a new “threadless” process injection technique that works by utilizing the concept of DLL Notification Callbacks in local and remote processes. An accompanying blog post with more details is available here: https://shorsec.io/blog/dll-notification-injection/ Ho...

Killer - Is A Tool Created To Evade AVs And EDRs Or Security Tools

It's a AV/EDR Evasion tool created to bypass security tools for learning, until now the tool is FUD. Features: Module Stomping for Memory scanning evasion DLL Unhooking by fresh ntdll copy IAT Hiding and Obfuscation & API Unhooking ETW Patchnig for bypassing some security controls Included sandbo...

Codecepticon - .NET Application That Allows You To Obfuscate C#, VBA/VB6 (Macros), And PowerShell Source Code

Codecepticon is a .NET application that allows you to obfuscate C, VBA/VB6 macros, and PowerShell source code, and is developed for offensive security engagements such as Red/Purple Teams. What separates Codecepticon from other obfuscators is that it targets the source code rather than the compil...

SysWhispers - AV/EDR Evasion Via Direct System Calls

SysWhispers helps with evasion by generating header/ASM files implants can use to make direct system calls. All core syscalls are supported from Windows XP to 10. Example generated files available in example-output/. Introduction Various security products place hooks in user-mode APIs which allow...