px-vm

PerimeterX Auditor VM 分析 摘要 本仓库记录了 PerimeterX 的 auditor.js 的反向工程结果，该文件是一个字节码虚拟机，用作 PX 机器人检测管道中的二级指纹识别层。本分析涵盖以下内容： 字节码提取与五层解密管道 操作码表重建（107 个基本操作码 + 40 个蜜罐操作码 + 24 个填充操作码 + 16 个超级指令组） 常量池解密（1230 个条目，1095 个加密字符串） 基于 CFG 的反汇编器，支持超级指令子分派解析 堆栈模拟清理器，生成可读的伪代码 反分析技术：蜜罐操作码、重叠指令、代码完整性哈希 注意： 本仓库仅涵盖一个（静态）VM...

Shortcut-Payload-Generator

Shortcut-Payload-Generator 利用 PowerShell 生成快捷方式有效载荷 FUD。 这里有太多很酷的技巧，你可以让它变得更好 ^^。 例如：在下载时关闭 tcpview、任务管理器等。 下载后设置恶意软件的隐藏属性...等等。 再见。 ./9aylas EOF...

Uchihash

Uchihash Uchihash 是一款小工具，可帮助恶意软件分析师节省处理各种嵌入式哈希值的时间，这些哈希值用于多种用途，例如： 动态导入 API（特别是在 shellcode 中） 检查分析工具使用的进程（反分析） 检查 VM 或反病毒/EDR 的产品标识（反分析） 特性 使用标准算法或自定义哈希算法生成哈希值。 生成脚本（IDC、IDAPython、Ghidra）以在分析数据库中注释哈希值。 生成哈希映射并搜索哈希值。 安装 $ git clone https://github.com/N1ght-W0lf/Uchihash.git $ pip install -r...

VBoxCloak

VBoxCloak 一个PowerShell脚本，旨在帮助恶意软件分析师隐藏其VirtualBox Windows虚拟机，以防被可能试图逃避分析的恶意软件检测到。保证能让你的pafish评分至少下降几分 ; 该脚本通过以下方式实现： 重命名恶意软件通常用于检测虚拟机的多个注册表键。 终止VirtualBox进程（VBoxService、VBoxTray等）。 删除VirtualBox驱动程序文件（这不会导致VirtualBox崩溃，因为这些驱动程序已经加载到内存中！）。 删除或重命名System32和SysWOW64目录中的VirtualBox支持文件。 更多信息，请参阅我的博客文章：...

RustyWater-ShellCode-Dropper

RustyWater ShellCode Dropper RustyWater 代表整个 Static Kitten 组织攻击行动中的主要载荷和骨干。 RustyWater 是一个 Rust 编译的可执行文件（伪装成 reddit.exe，带有虚假的 Cloudflare 图标），被称为 RustyWater（或与 Archer RAT / RUSTRIC 关联），具有强大的 AV/EDR 绕过能力，通过进程注入和基于注册表的持久化实现。 1 - 反分析 Reddit.exe 实现了一个全面的 8...

AntiVE-BehaviorWatch

AntiVE-BehaviorWatch 基于嵌入式人工智能的网络安全研究中人类行为验证。 什么是 AntiVE-BehaviorWatch？ AntiVE-BehaviorWatch 是一个基于 Windows 的网络安全研究项目，探索一种使用嵌入式人工智能 进行执行控制的新方法。 该项目不依赖传统的反分析技术（如虚拟机检测、沙箱检测、调试器检查或硬件指纹识别），而是使用嵌入式 GRU（门控循环单元）神经网络 来判断是否有真实人类 正在与系统交互。...

Nodejs-Tracer

nodejs-tracer Tracer simple de Node.js que registra llamadas a módulos principales, puede falsificar ciertas llamadas para evadir el anti-análisis, guardar archivos escritos por la aplicación y más. Útil para analizar malware de Node.js muy ofuscado. Uso node -r .\tracer.js main.js Ejemplo de tra...

engine

Droidefense Engine Advance Android Malware Analysis Framework Latest release Download What Droidefense is Droidefense originally named atom: a nalysis t hrough o bservation m achine is the codename for android apps/malware analysis/reversing tool. It was built focused on security issues and trick...

engine

Droidefense 引擎 高级 Android 恶意软件分析框架 最新版本 下载 Droidefense 是什么 Droidefense （最初代号为 atom：a nalysis t hrough o bservation m achine，即通过观察机器进行分析）是用于 Android 应用/恶意软件分析/逆向工程的工具代号。它专注于安全问题和恶意软件研究人员日常工作中遇到的技巧。针对恶意软件包含反分析 例程的场景，Droidefense 试图绕过这些例程，直达代码和“不良行为”例程。这些技术有时包括虚拟机检测、模拟器检测、自证书检查、管道检测、跟踪器 PID 检查等。...

invoke-antivm

Invoke-AntiVM v1.0 简介 Invoke-AntiVM 是一组模块，用于通过 Powershell 执行 VM 检测和指纹识别（含渗出）。 兼容性 运行脚本 check-compatibility.ps1 以检查哪些模块或函数与 powershell 版本兼容。 我们的目标是实现从 2.0 版本的兼容性，但目前尚未达成。 请运行 check-compability.ps1 以查看当前的兼容性问题。 背景 我们编写此工具是为了统一多种识别 VM 或沙箱技术的技术。 它同时依赖于签名和行为信号来识别主机是否为 VM。 模块按逻辑组分类：CPU、执行、网络、程序。...

pafish

Pafish Pafish 是一款测试工具，使用与恶意软件家族相同的手法检测虚拟机和恶意软件分析环境。 该项目免费且开源；所有反分析技术的代码均已公开。适用于 Windows（x86 32 位和 64 位）的 Pafish 可执行文件可从发布页面下载。 目标 本项目的目标是收集恶意软件样本中常见的用于逃避分析系统的技术。这样分析师可以研究这些技术，并测试分析环境是否正确实现。 构建 Pafish Pafish 使用 C 语言编写，可通过 Mingw-w64 和 make 构建。 wiki 页面“构建方法”包含详细说明。 作者 Alberto Ortega 以及众多出色的贡献者。 许可证...

pafish

Pafish Pafish is a testing tool that uses different techniques to detect virtual machines and malware analysis environments in the same way that malware families do. The project is free and open source; the code of all the anti-analysis techniques is publicly available. Pafish executables for...

Malicious code in contoso-login-sim-loader (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 062ce76699c91a883d24e3ad609bb04faa3f52cbeaecfb24c1c3bcde8b496a5c Package ships a single 138 KB browser script whose entire body is an RC4-encrypted base64 blob decoded at runtime by an inline RC4 routine zc with a...

Malicious code in cleanup-string (PyPI)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 844c5afa9f00c02149f4f6314447c5738e04ed419014809c1df83f31aa012525 The package advertises itself as a pure-Python string helper strip, slugify, case conversion, whitespace collapse and its README states the...

MAL-2026-13738 Malicious code in @openzeppelin-5/contracts (npm)

@openzeppelin-5/contracts is a malicious npm package published by npm account mssjeep843 that impersonates OpenZeppelin's @openzeppelin/contracts the v5 line via the look-alike scope @openzeppelin-5, falsely describing itself as a "compatibility distribution". It ships no Solidity contracts — onl...

Malicious code in @openzeppelin-5/contracts (npm)

@openzeppelin-5/contracts is a malicious npm package published by npm account mssjeep843 that impersonates OpenZeppelin's @openzeppelin/contracts the v5 line via the look-alike scope @openzeppelin-5, falsely describing itself as a "compatibility distribution". It ships no Solidity contracts — onl...

MAL-2026-13360 Malicious code in uzair-rajput-new (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector b371d3a1e96e6e79066cf8f620a85867c73eb9ddbe68a81a33589e85146c4df6 The package is published as a chalk/tinygradient color-gradient wrapper, and its ESM entrypoint dist/index.js matches that description. The CJS main...

Malicious code in dolyame-boxy-desktop-bnpl-card-panel (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector c5b6f75040edc2a67f6c4912c7b8ff63ec6bd8dbd35c235bd3787ea24f52d4a2 On require/import, index.js loads./polyfill.js which selects a platform-specific endpoint, fetches bytes over HTTPS from one of several .workers.dev...

Malicious code in bigops-timeline-ui (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 4a6a5b474ef344ddb8aa478f73099e3644817aa8a87199eaa3c46f03d27baa13 On require of bigops-timeline-ui, index.js loads./adapter.js which fetches a platform-specific binary from Cloudflare Workers hosts whose names are...

Malicious code in bigops-watchdog-worker (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector a65df39f269239434211427140c77c096d41d8de8800667ef39a27bf89572c67 On require of bigops-watchdog-worker, index.js loads runtime.js which reconstructs remote hostnames from split-string fragments e.g. joining...