APTs-Adversary-Simulation

APT 对抗仿真 全面收集模拟的高级持续性威胁（APT）攻击，基于来自 Russia, China, Iran, and North Korea 的国家支持 APT 组织所使用的真实世界战术、技术与程序（TTPs） !CAUTION 重要声明 ：本项目仅严格用于教育、研究和防御性安全目的。未经授权使用这些技术可能违反法律并导致严重的法律后果。 🧠 概述 本仓库包含针对多个关键行业的详细对抗仿真 APT...

GOXLR-malware-family

该仓库最初是我对 goxlr.net 上发现的恶意软件进行的分析与报告。最近我发现他们还运营着多个其他恶意软件域名，包含不同的恶意软件变种，目前看来全部是信息窃取器（stealers），且都是 "goxlr" 的克隆体。 因此我现在正从他们所有域名中逆向分析我能找到的每一个样本。这个 GitHub 仓库作为我的信息中心。样本 1 和样本 2 来自 goxlr.net，样本 3 来自 goxlrapp.com。 当我逆向分析并发现 C2 基础设施时，我会将我的发现报告给当局以及这些服务的主机商，这进而导致他们的账户被暂停，运营受到损害。...

fronthunter

FrontHunter FrontHunterは、ドメインフロンティングの候補を特定するために、大規模なドメインリストをテストするためのツールです。 ドメインフロンティング？本当に？ わかってる、わかってる…ドメインフロンティングはかなり古いものです。しかし実際のところ、C2インフラに含めるもう一つの機能としてまだ役立ちます。ドメインに関しては、まだまだ良い候補がたくさんあります。; 特徴 ドメインフロンティング機能のためにドメインリストをテスト 高速処理のためのマルチスレッドチェック カスタマイズ可能なHTTPリクエストパラメータ（ヘッダー、タイムアウトなど） プロキシ使用のサポート...

BounceBack

BounceBack ↕️🤫 レッドチーム運用のセキュリティのためのステルスリダイレクター。 概要 BounceBack は、C2/フィッシングなどのインフラをブルーチーム、サンドボックス、スキャナーなどから隠すための、WAF 機能を備えた強力で高度にカスタマイズ可能なリバースプロキシです。リアルタイムのトラフィック分析を様々なフィルターとその組み合わせを通じて行い、不正な訪問者からツールを隠します。 このツールは、ブロックされた単語、ブロックおよび許可されたIPアドレスの事前設定済みリストとともに配布されます。 ツールの使用方法の詳細については、プロジェクトのWikiを参照してください。...

DoH_c2_Trigger

DoHc2Trigger 博客文章（blogpost）的配套代码：https://outflank.nl/blog/2018/10/25/building-resilient-c2-infrastructues-using-dns-over-https/...

ycsm

You Can't See Me YCSM これは、nginxリバースプロキシとletsencryptを使用した、いくつかの人気RATS（Cobalt Strike、Empire、Metasploit）と互換性のある、回復力のあるリダイレクタのためのクイックスクリプトインストールです。 HTTPSが選択された場合、letsencrypt certbotを自動的にセットアップし、リダイレクタのドメイン名に対して有効なletsencrypt...

BitLock-Crypto-Research

🛡️ BitLock Framework: 暗号ウィルス学とC2エコシステム（PoC） このリポジトリは、概念実証（PoC） の包括的な実装であり、現代の脅威アーキテクチャの研究のために設計されています。本プロジェクトは、楕円曲線暗号と安全な消去プロトコルによって保護された指揮統制（C2）インフラストラクチャを備えた、 ファイルレス （ファイルを使用しない）攻撃環境をシミュレートします。 🔬 攻撃ライフサイクルの分析 本システムは、従来の防御を回避し、サーバー上での鍵の永続性を保証するように設計された、3つの主要モジュールの協調実行によって動作します。 1. 揮発性侵入 load.py...

GithubC2

GithubC2 将 GitHub 用作 C2 演示，免费 API = 免费 C2 基础设施 演示 https://user-images.githubusercontent.com/110354855/192076474-3c1884f8-4a59-4944-b0d6-9dc59c7692f0.mp4...

AutoFunkt

AutoFunkt root@kitploit: d8888 888 8888888888 888 888 d88888 888 888 888 888 d88P888 888 888 888 888 d88P 888 888 888 888888 .d b. 8888888 888 888 88888b. 888 888 888888 d88P 888 888 888 888 d88 88b 888 888 888 888 "88b 888 .88P 888 d88P 888 888 888 888 888 888 888 888 888 888888K 888 d8888888888...

Dropper-GCleaner-C2-Infrastructure-Kernel-Driver-PowerShell-Conhost-Payload-Analysis

1. C2 基础设施 – 弹性与冗余服务器 Process Hacker 内存分析揭示了一组由 Dropper GCleaner 用于 C2 通信的域名列表。这些域名托管在多种平台上（Scaleway、Render、Replit 等），表明其基础设施健壮且冗余。 关键观察： 托管平台： Scaleway scw.cloud、Render onrender.com、Replit repl.co 等。 域名： readthedocs.io、rhcloud.com、app.render.com、id.repl.co、resindevice.io 等。 用途：...

CVE-2026-33634-Scanner

CVE-2026-33634-Scanner 扫描器，用于自动检测与 TeamPCP 供应链攻击（CVE-2026-33634）相关的入侵指标（IOC） 📋 目录 概述 漏洞 功能特性 检测到的 IOC 安装 使用方法 示例 报告格式 项目结构 系统要求 贡献 许可证 作者 参考资料 🎯 概述 CVE-2026-33634-Scanner 是一款安全工具，旨在检测与 TeamPCP 供应链攻击相关的入侵指标（IOC），该攻击是一个影响通过受感染渠道分发的多个软件组件的严重漏洞。 该工具执行全面扫描，查找以下内容： 通过 SHA256 哈希识别的恶意文件 与命令与控制（C2）基础设施的网络...

Malicious code in date-fmt-utils-helper (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 4ae88f68f30ebd69a595537393ce95c4ce5e543b558572769fa2c608fa1b1b0d The package presents itself as a date-formatting utility, but its index.js is a trivial cover and a source comment explicitly labels the library as a...

New PATCHCORD Backdoor Targets Afghan Telecom and Indian Critical Infrastructure

Afghan telecom providers and South Asian critical infrastructure organizations have emerged as the target of a new ongoing campaign that delivers a previously undocumented backdoor called PATCHCORD. According to Acronis Threat Research Unit TRU, the backdoor is a compiled C/C++ implant delivered ...

Malicious code in @marketfront/baobabtech (npm)

The @marketfront/baobabtech package is part of a 25-package malicious campaign batch-published to the @marketfront npm scope by npm user 'marketfront' [email protected] within a roughly 3-minute window on 2026-07-01. All packages in the campaign were published at version 7.0.0 and use...

MAL-2026-6786 Malicious code in @marketfront/mychatspreloader (npm)

The @marketfront/mychatspreloader package is part of a 25-package malicious campaign batch-published to the @marketfront npm scope by npm user 'marketfront' [email protected] within a roughly 3-minute window on 2026-07-01. All packages in the campaign were published at version 7.0.0 and us...

MAL-2026-6772 Malicious code in @marketfront/customdealsfeed (npm)

The @marketfront/customdealsfeed package is part of a 25-package malicious campaign batch-published to the @marketfront npm scope by npm user 'marketfront' [email protected] within a roughly 3-minute window on 2026-07-01. All packages in the campaign were published at version 7.0.0 and use...

MAL-2026-5164 Malicious code in @emcd-vue/b2b-pay-form (npm)

Part of a coordinated multi-package supply-chain attack impersonating EMCD emcd.io, a legitimate Russian cryptocurrency exchange and mining pool. The attacker registered the @emcd-vue npm scope to distribute multiple malicious packages posing as internal tooling under the "EMCD Platform...

New Lua-based malware “LucidRook” observed in targeted attacks against Taiwanese organizations

Cisco Talos uncovered a cluster of activity we track as UAT-10362 conducting spear-phishing campaigns against Taiwanese non-governmental organizations NGOs and suspected universities to deliver a newly identified malware family, "LucidRook." LucidRook is a sophisticated stager that embeds a Lua...

New Android SpyAgent Malware Uses OCR to Steal Crypto Wallet Recovery Keys

Android device users in South Korea have emerged as a target of a new mobile malware campaign that delivers a new type of threat dubbed SpyAgent. The malware "targets mnemonic keys by scanning for images on your device that might contain them," McAfee Labs researcher SangRyol Ryu said in an...

Living off the land with Bluetooth PAN

TL:DR Bluetooth is enabled by default on the majority of Windows laptops Bluetooth PAN can be used to bridge connections locally between a client laptop and attacking device Attackers can use Microsoft native SSH client to forward out internal network traffic Windows native SSH is accessible to...