APTs-Adversary-Simulation

APT アドバーサリーシミュレーション 国家支援型APTグループ（Russia, China, Iran, and North Korea）が実際に使用する戦術・技術・手順（TTPs）に基づく、高度標的型攻撃（APT）のシミュレーションを包括的にまとめたコレクションです。 !CAUTION 重要なお知らせ : このプロジェクトは教育、研究、および防御的なセキュリティ目的にのみ厳格に使用されます。これらの技術を無許可で使用すると、法律に違反し、重大な法的結果を招く可能性があります。 🧠 概要...

GOXLR-malware-family

このリポジトリは当初、goxlr.net で発見されたマルウェアの分析とレポート用のものでした。最近、彼らがさまざまなマルウェア亜種を配信する他のマルウェアドメインも複数運営していたことを発見しました。これまでのところすべてスティーラーで、すべて "goxlr" のクローンです。 そのため、現在は彼らの全ドメインから見つけられるすべてのサンプルをリバースエンジニアリングしています。この GitHub リポジトリが私の情報の中心です。サンプル1と2は goxlr.net から、サンプル3は goxlrapp.com から取得したものです。 C2...

fronthunter

FrontHunter FrontHunterは、ドメインフロンティングの候補を特定するために、大規模なドメインリストをテストするためのツールです。 ドメインフロンティング？本当に？ わかってる、わかってる…ドメインフロンティングはかなり古いものです。しかし実際のところ、C2インフラに含めるもう一つの機能としてまだ役立ちます。ドメインに関しては、まだまだ良い候補がたくさんあります。; 特徴 ドメインフロンティング機能のためにドメインリストをテスト 高速処理のためのマルチスレッドチェック カスタマイズ可能なHTTPリクエストパラメータ（ヘッダー、タイムアウトなど） プロキシ使用のサポート...

BounceBack

BounceBack ↕️🤫 レッドチーム運用のセキュリティのためのステルスリダイレクター。 概要 BounceBack は、C2/フィッシングなどのインフラをブルーチーム、サンドボックス、スキャナーなどから隠すための、WAF 機能を備えた強力で高度にカスタマイズ可能なリバースプロキシです。リアルタイムのトラフィック分析を様々なフィルターとその組み合わせを通じて行い、不正な訪問者からツールを隠します。 このツールは、ブロックされた単語、ブロックおよび許可されたIPアドレスの事前設定済みリストとともに配布されます。 ツールの使用方法の詳細については、プロジェクトのWikiを参照してください。...

DoH_c2_Trigger

DoHc2Trigger ブログ記事のコード: https://outflank.nl/blog/2018/10/25/building-resilient-c2-infrastructues-using-dns-over-https/...

ycsm

You Can't See Me YCSM これは、nginxリバースプロキシとletsencryptを使用した、いくつかの人気RATS（Cobalt Strike、Empire、Metasploit）と互換性のある、回復力のあるリダイレクタのためのクイックスクリプトインストールです。 HTTPSが選択された場合、letsencrypt certbotを自動的にセットアップし、リダイレクタのドメイン名に対して有効なletsencrypt...

BitLock-Crypto-Research

🛡️ BitLock Framework: 暗号ウィルス学とC2エコシステム（PoC） このリポジトリは、概念実証（PoC） の包括的な実装であり、現代の脅威アーキテクチャの研究のために設計されています。本プロジェクトは、楕円曲線暗号と安全な消去プロトコルによって保護された指揮統制（C2）インフラストラクチャを備えた、 ファイルレス （ファイルを使用しない）攻撃環境をシミュレートします。 🔬 攻撃ライフサイクルの分析 本システムは、従来の防御を回避し、サーバー上での鍵の永続性を保証するように設計された、3つの主要モジュールの協調実行によって動作します。 1. 揮発性侵入 load.py...

GithubC2

GithubC2 将 GitHub 用作 C2 演示，免费 API = 免费 C2 基础设施 演示 https://user-images.githubusercontent.com/110354855/192076474-3c1884f8-4a59-4944-b0d6-9dc59c7692f0.mp4...

AutoFunkt

AutoFunkt root@kitploit: d8888 888 8888888888 888 888 d88888 888 888 888 888 d88P888 888 888 888 888 d88P 888 888 888 888888 .d b. 8888888 888 888 88888b. 888 888 888888 d88P 888 888 888 888 d88 88b 888 888 888 888 "88b 888 .88P 888 d88P 888 888 888 888 888 888 888 888 888 888888K 888 d8888888888...

Dropper-GCleaner-C2-Infrastructure-Kernel-Driver-PowerShell-Conhost-Payload-Analysis

1. C2インフラストラクチャ – 耐障害性と冗長性を備えたサーバー Process Hackerのメモリ解析により、Dropper GCleanerがC2通信に使用するドメインの包括的なリストが明らかになりました。これらのドメインはさまざまなプラットフォーム（Scaleway、Render、Replitなど）でホストされており、堅牢で冗長性のあるインフラストラクチャを示しています。 主な観察結果: ホスティングプロバイダー: Scaleway scw.cloud、Render onrender.com、Replit repl.co など。 ドメイン:...

CVE-2026-33634-Scanner

CVE-2026-33634-Scanner 扫描器，用于自动检测与 TeamPCP 供应链攻击（CVE-2026-33634）相关的入侵指标（IOC） 📋 目录 概述 漏洞 功能特性 检测到的 IOC 安装 使用方法 示例 报告格式 项目结构 系统要求 贡献 许可证 作者 参考资料 🎯 概述 CVE-2026-33634-Scanner 是一款安全工具，旨在检测与 TeamPCP 供应链攻击相关的入侵指标（IOC），该攻击是一个影响通过受感染渠道分发的多个软件组件的严重漏洞。 该工具执行全面扫描，查找以下内容： 通过 SHA256 哈希识别的恶意文件 与命令与控制（C2）基础设施的网络...

Malicious code in date-fmt-utils-helper (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 4ae88f68f30ebd69a595537393ce95c4ce5e543b558572769fa2c608fa1b1b0d The package presents itself as a date-formatting utility, but its index.js is a trivial cover and a source comment explicitly labels the library as a...

New PATCHCORD Backdoor Targets Afghan Telecom and Indian Critical Infrastructure

Afghan telecom providers and South Asian critical infrastructure organizations have emerged as the target of a new ongoing campaign that delivers a previously undocumented backdoor called PATCHCORD. According to Acronis Threat Research Unit TRU, the backdoor is a compiled C/C++ implant delivered ...

Malicious code in @marketfront/baobabtech (npm)

The @marketfront/baobabtech package is part of a 25-package malicious campaign batch-published to the @marketfront npm scope by npm user 'marketfront' [email protected] within a roughly 3-minute window on 2026-07-01. All packages in the campaign were published at version 7.0.0 and use...

MAL-2026-6786 Malicious code in @marketfront/mychatspreloader (npm)

The @marketfront/mychatspreloader package is part of a 25-package malicious campaign batch-published to the @marketfront npm scope by npm user 'marketfront' [email protected] within a roughly 3-minute window on 2026-07-01. All packages in the campaign were published at version 7.0.0 and us...

MAL-2026-6772 Malicious code in @marketfront/customdealsfeed (npm)

The @marketfront/customdealsfeed package is part of a 25-package malicious campaign batch-published to the @marketfront npm scope by npm user 'marketfront' [email protected] within a roughly 3-minute window on 2026-07-01. All packages in the campaign were published at version 7.0.0 and use...

MAL-2026-5164 Malicious code in @emcd-vue/b2b-pay-form (npm)

Part of a coordinated multi-package supply-chain attack impersonating EMCD emcd.io, a legitimate Russian cryptocurrency exchange and mining pool. The attacker registered the @emcd-vue npm scope to distribute multiple malicious packages posing as internal tooling under the "EMCD Platform...

New Lua-based malware “LucidRook” observed in targeted attacks against Taiwanese organizations

Cisco Talos uncovered a cluster of activity we track as UAT-10362 conducting spear-phishing campaigns against Taiwanese non-governmental organizations NGOs and suspected universities to deliver a newly identified malware family, "LucidRook." LucidRook is a sophisticated stager that embeds a Lua...

New Android SpyAgent Malware Uses OCR to Steal Crypto Wallet Recovery Keys

Android device users in South Korea have emerged as a target of a new mobile malware campaign that delivers a new type of threat dubbed SpyAgent. The malware "targets mnemonic keys by scanning for images on your device that might contain them," McAfee Labs researcher SangRyol Ryu said in an...

Living off the land with Bluetooth PAN

TL:DR Bluetooth is enabled by default on the majority of Windows laptops Bluetooth PAN can be used to bridge connections locally between a client laptop and attacking device Attackers can use Microsoft native SSH client to forward out internal network traffic Windows native SSH is accessible to...