LazyHook

개요 LazyHook은 호스트 침입 방지 시스템HIPS을 우회 하는 은밀한 API 후킹 프레임워크로, 호출 스택 스푸핑을 통해 동작합니다. CPU 수준의 하드웨어 중단점과 Vectored Exception Handling을 활용하여, 신뢰할 수 있는 Microsoft 서명 모듈에서 발생한 것처럼 임의 코드를 실행합니다. 이는 호출 스택 검사와 모듈 출처 확인에 의존하는 행동 분석 엔진을 완전히 속입니다. 신뢰할 수 있는 Microsoft 호출 스택 내에서 악성 코드를 실행하여 행동 분석을 회피하세요 하드웨어 중단점 + VEH를...

NimicStack

NimicStack NimicStackは、正当なプログラムを模倣するためのコールスタックスプーフィング技術の純粋なNim実装です。プロジェクト全体は、WithSecure Labsが共有したPoCに基づいています。 コンパイル 以下のコマンドでソースコードを直接コンパイルできます: nim c -d=mingw --app=console --cpu=amd64 -o:NimicStack.exe .\Main.nim "cannot open file" エラーが発生した場合は、必要な依存関係もインストールしてください: nimble install ptrmath winim...

Shelter

Shelter Shelter는 완전한 무장형 수면 난독화 기법으로, ROP를 광범위하게 사용하여 메모리 내 페이로드를 완전히 암호화할 수 있습니다. 이 크레이트는 다음과 같은 특징을 가지고 있습니다: AES-128 암호화. 전체 PE 암호화 기능. 수면 중 실행 권한 제거. APC/HWBP/타이머 미사용, 오직 ROP만을 사용하여 난독화 달성. 호출 스택 스푸핑을 위해 Unwinder 사용 후 ROP 체인 실행. 다양한 상황에 적응할 수 있는 여러 실행 방법. 기타 OPSEC 고려 사항: DInvokers, 간접 시스템 콜,...

pe-sieve

Intro PE-sieve is a tool that helps to detect malware running on the system, as well as to collect the potentially malicious material for further analysis. Recognizes and dumps variety of implants within the scanned process: replaced/injected PEs, shellcodes, hooks, and other in-memory patches...

SilentMoonwalk

SilentMoonwalk 완전 동적 콜 스택 스푸퍼의 PoC 구현 TL;DR SilentMoonwalk는 완전 동적 콜 스택 스푸퍼의 PoC 구현으로, ROP를 사용하여 언와인딩을 제어 흐름과 비동기화함으로써 콜 스택에서 원래 호출자를 제거하는 기법을 구현합니다. Authors 이 PoC는 스택 스푸핑 주제에 대한 공동 연구의 결과물입니다. 연구의 저자는 다음과 같습니다: KlezVirus Waldo-IRC Trickster0 이 작업은 초기 PoC 단계와 PoC 뒤에 있는 연구에 모두 기여한 Waldo-IRC와...

ThreadStackSpoofer

Thread Stack Spoofing / Call Stack Spoofing PoC 스레드 호출 스택을 스푸핑하는 고급 인메모리 회피 기법의 PoC 구현입니다. 이 기술은 스레드 기반 메모리 검사 규칙을 우회하고 인-프로세스 메모리에서 셸코드를 더 잘 숨길 수 있게 해줍니다. 소개 이는 검사 중인 스레드의 호출 스택에서 셸코드 프레임에 대한 참조를 찾는 악성코드 분석가, AV 및 EDR을 회피하기 위한 Thread Stack Spoofing 기법의 예제 구현입니다. 아이디어는 스레드의 호출 스택에서 셸코드에 대한 참조를 숨겨...

moneta

/ \ / | / \ / \ / \ / / \ \ / Y | \ /| | / | //| | / | / / / / / Moneta v1.0 | Forrest Orr | 2020 REQUIRED -m |region|referenced|ioc -p |PID OPTIONAL -v detail|debug|surface -d --option from-base|statistics --filter unsigned-module|clr-prvx|clr-heap|metadata-modules --address --region-size -m...

CVE-2026-92933

A flaw was found in vm2. The NodeVM component exposes the host util module, including the util.getCallSites function, to the sandbox as an unfiltered copy. On Node.js versions 22.9 and later, this allows sandboxed code to access util.getCallSites, which can return the host process's full call...

CVE-2026-92933

vm2 (a Node.js sandbox for untrusted code) in versions ≤ 3.11.7 leaks host-process information to sandboxed code. The root cause is that NodeVM exposes the host util module as an unfiltered shallow copy via defaultBuiltinLoaderUtil, and the deprecated sys builtin (an alias of util) through the ge...

MassDriver

MassDriver シェルコードからアーティファクトへの機密API呼び出しをプロキシし、CET互換のクリーンなコールスタックを実現します。 私のブログ記事の付属PoC: Stop Being Weird — Life After Call Stack Spoofing Under CET ビルド MinGWにはCET互換フラグを設定する方法がないため、CETでビルドするにはllvm-mingwが必要です。 デフォルトでは./payload/testDll.cをペイロードとしてビルドします。これはLoadLibraryAとSleepを呼び出すため、コールスタックを検査できます。...

Astra Linux – Vulnerability in Linux 5.10

In the Linux kernel, the following vulnerability has been resolved: sched/scs: The task stack state is reset in bringupcpu. When a CPU is hot-plugged, the idle task on that CPU calls several layers of C code before finally leaving the kernel. When KASAN is in use, a “poisoned” shadow is left behi...

Astra Linux – Vulnerability found in Linux 5.10, Linux 6.1, and Linux 5.15

In the Linux kernel, the following vulnerability has been resolved: scs: A wrong parameter was fixed in scsmagic. The scsmagic function requires a void variable, but a struct taskstruct is provided instead. taskscstsk represents the starting address of the task’s shadow call stack, and...

CallStackSpoofer

CallStackSpoofer このリポジトリは、システムコールを行う際に任意のコールスタックを偽装する PoC 実装を示しています。完全な技術解説については、付随するブログ記事（https://labs.withsecure.com/blog/spoofing-call-stacks-to-confuse-edrs）を参照してください。 デフォルトでは、模倣する 3 つのサンプルコールスタックが含まれており、以下に示すように --wmi、--rpc、--svchost のいずれかを指定することで選択できます: これらのコールスタックは、プロセスアクセスイベントを有効にした SysMo...

Unwinder

目次 SilentMoonWalk 説明 クレジット 使い方 callfunction! マクロ indirectsyscall! マクロ パラメータの受け渡し 例 kernel32.dll!Sleep を呼び出す kernel32.dll!OpenProcess を呼び出す NtDelayExecution を間接システムコールとして呼び出す マクロ呼び出しの連結 注意事項 最初のフレーム PoC スタック置換 技術の説明 使用方法 例 注意事項 SilentMoonWalk 説明 Unwinder は SilentMoonWalk 技術の完全な兵器化を提供し、Rust...

CallStackMasker

CallStackMasker このリポジトリは、タイマーを使用してコールスタックを動的に偽装するPoCテクニックを紹介しています。インプラントがスリープする前にタイマーをキューに積んで、コールスタックを偽のスタックで上書きし、実行を再開する前に元のスタックを復元することができます。つまり、スリープ中にインプラントのメモリをマスクするのと同じ方法で、メインスレッドのコールスタックもマスクできます。...

CVE-2026-84851

An uncontrolled recursion issue exists in Amazon Ion-C versions before 1.1.6 that might allow a remote unauthenticated actor to craft Ion data that exhausts the native call stack and crashes the application using the library, resulting in a denial of service...

CVE-2026-84851

CVE-2026-84851 is an uncontrolled recursion vulnerability in the Ion reader component of Amazon Ion-C , affecting versions before 1.1.6 . A remote, unauthenticated attacker can craft malicious Ion data that exhausts the native call stack, causing a denial of service in any application using the l...

CVE-2026-84851 Uncontrolled recursion in the Ion reader in Amazon Ion-C before 1.1.6

An uncontrolled recursion issue exists in Amazon Ion-C versions before 1.1.6 that might allow a remote unauthenticated actor to craft Ion data that exhausts the native call stack and crashes the application using the library, resulting in a denial of service...

PT-2026-84881

An uncontrolled recursion issue exists in Amazon Ion-C versions before 1.1.6 that might allow a remote unauthenticated actor to craft Ion data that exhausts the native call stack and crashes the application using the library, resulting in a denial of service...

Astra Linux – Vulnerability found in Linux 5.10, Linux 6.1, and Linux 5.15

In the Linux kernel, the following vulnerabilities have been resolved: arm64/entry: DAIF was unmasked in cpuswitchto, and called on the irqstack. cpuswitchto and callonirqstack manipulate the SP to switch to different stacks, along with the Shadow Call Stack if it is enabled. These two stack...