BypassAV

BypassAV このマップは、アンチウイルスとEDRをバイパスするための必須テクニックを列挙しています。 注意: IOSsによりアンチウイルスに疑われる可能性が高いオープンソースツールを使用するのではなく、手動テクニックに関する記事を読むことを強くお勧めします。 プレビュー Markdown / HTML版の編集 Bypass-AV.md は MarkMap で作成されています。 ここでプレビューできます。 いくつかのプラグインで編集/プレビューできます: VSCode VSCode Marketplace - gera2ld.markmap-vscode Open VSX -...

shellshocker-python

shellshocker-python これは、Bash を実行するマシンが CVE-2014-6271 に対して脆弱かどうかを検出するのに役立つ Python アプリケーションです。...

2023

100 Days of YARA Part 2 - Electric Detectaloo 先にひどい命名について謝っておきますが、100 Days of YARA へようこそ！このリポジトリは、この期間中に作成されたすべての YARA アイデアの保管庫として機能します。あなたが書いた楽しいスクリプト、ツール、ルールは、すべてこの GitHub リポジトリにコミットできます！今のところ、関連するブログやウォークスルー、その他の雑感は他の場所で公開してください : で、これは一体何なのか？ 要するに、100DaysofYARA は、マルウェアアナリスト、検知エンジニア、リバーサーが YAR...

racketeer

Racketeer 프로젝트 - 랜섬웨어 시뮬레이션 툴킷 이 프로젝트의 목표는 팀이 회사 자산 및 네트워크 엔드포인트 집합에 대해 통제된 방식으로 일반적인 랜섬웨어 작동을 시뮬레이션하고 탐지 능력을 테스트할 수 있는 방법을 제공하는 것입니다. 배포 모델 Racketeer 툴킷은 에이전트/베이스 모델로 작동하며 현재 에이전트 수준에서 Windows OS 시스템을 지원하고, 명령 및 제어 베이스는 크로스 플랫폼입니다. 아키텍처 다이어그램 아키텍처 참조 더 읽기: 에이전트 베이스 운영 보안 OpSec 참조 유틸리티 유틸리티 참조...

DaysOfYARA-2023

100 Days of YARA パート 2 - Electric Detectaloo ひどいネーミングで先に謝っておきますが、100 Days of YARA へようこそ！このリポジトリは、この期間中に生み出されたすべての YARA アイデアの保管場所として機能します。作成した楽しいスクリプト、ツール、ルールは、この GitHub リポジトリにコミットできます！当面、関連するブログ記事、ウォークスルー、その他の雑感は、他の場所で公開してください : で、これは一体何なのか？ 簡単に言うと、100DaysofYARA は、マルウェアアナリスト、検知エンジニア、リバースエンジニアが、YA...

CVE-2022-24497

CVE-2022-24497 CVE-2022-24497 用の Zeek 検出器: https://vulners.com/cve/CVE-2022-24497 テスト PCAP からの通知例: separator \x09 setseparator , emptyfield empty unsetfield - path notice open 2022-04-13-21-45-25 fields ts uid id.origh id.origp id.resph id.respp fuid filemimetype filedesc proto note msg sub src d...

VMwareCloak

VMwareCloak マルウェア解析者が、解析を回避しようとするマルウェアからVMware Windows VMを隠すのを支援しようとするPowerShellスクリプトです。 pafishのスコアを少なくとも数ポイントは確実に下げられます ; このスクリプトは、以下の方法でこれを実現します: マルウェアがVM検出に一般的に使用する複数のレジストリキーの名前を変更します。 VMwareプロセスを強制終了します。 VMwareドライバファイルを削除します これらのドライバはとにかくメモリにロードされているため、VMはクラッシュしません!。...

Purpleteam

Purpleteam 作業中 SOC検知のためのイベントをトリガーするために作成したスクリプト。MITRE ATT&CKテクニックにマッピングされています。...

CVE-2022-26134

CVE-2022-26134 1. 먼저 shodan 스크립트를 실행하여 모든 IP를 수집합니다 python3 shodanscript.py -API yourapi -L limit -D "http.favicon.hash:-305179312 200" log.txt 예: python3 shodanscript.py -API xxxxxxx -L 10 -D "http.favicon.hash:-305179312 200" log.txt 2. 유효한 모든 IP에 대해 : cat log.txt | httpx -o forexploits.txt 3...

PowerShell-Obfuscation-Bible

PowerShell 難読化バイブル PowerShell スクリプトを手動で難読化し、シグネチャベースの検知を回避するためのテクニック、実例、そして少しの理論をまとめた教育目的のコレクションです。このリポジトリの内容は個人調査の結果であり、オンライン資料の読解や、ラボやペンテストでの試行錯誤を含みます。何を鵜呑みにしないでください。 YouTube 動画プレゼンテーション : youtube.com/watch?v=tGFdmAhlXE ⚠️ 免責事項 :...

Azure-AD-Password-Checker

Azure AD Password Checker 在 Azure AD 环境中，无需任何特殊权限即可确定用户是否已禁用多重身份验证 MFA。这可以通过分析账户的创建日期和上次密码更改日期来实现。 如果账户的创建日期和时间与其上次密码更改日期和时间一致，则可能表明自账户创建以来未发生任何人机交互，且用户无法启用多重身份验证 MFA 或更改其密码。此外还有其他“异常”，例如密码更改日期早于创建日期。这也表明，由于用户尚未创建，因此无法启用多重身份验证 MFA！ 2023 年 10 月 16 日更新： 两个用户在同一时间更改密码的可能性有多大？这可以视为另一种 MFA...

SupplyChainAttacks

ファームウェアサプライチェーン攻撃 このリポジトリは、Binarly REsearchチームによって発見または調査された、文書化されたファームウェアサプライチェーン攻撃の厳選かつ包括的なコレクションを提供します。Binarlyによって維持されているこのプロジェクトは、サイバーセキュリティ研究者、専門家、および組織がサプライチェーン侵害で使用される攻撃ベクトル、戦術、および方法論をより深く理解するための教育および参考リソースとして機能します。 ここで見つけられるもの： 注目すべきサプライチェーン攻撃事例に関する詳細情報 これらのインシデントに関連する侵害指標（IoCs）...

detection-validation

Detection-Validation 目的 このツールは、実際のプロセスをセットアップすることなく、悪意のあるプロセスイベントのシミュレーションを自動化します。 たとえば、w3wp.exe が Powershell を起動することをテストしたい場合、w3wp.exe イベントをシミュレートするために IIS のセットアップを行う必要があります。検証するルールが多い場合、これは非常に手間のかかる作業です。検出エンジンは Sysmon や EDR...

yara-ttd

yara-ttd - パッカーの究極の天敵 Time Travel Debugging のトレースに YARA ルールを使用します 1. デモ 2. 動機 3. インストール 4. 使い方 5. 今後の機能 デモ UPX でパックされたバイナリ calc.exe を起動する単純なバイナリで、UPX でパックされています。 yara-ttd はスレッド作成中に、モジュールメモリ内の calc.exe 文字列を見つけ出します。 calc.exe を実行する単純な難読化シェルコード テスト対象のバイナリはシェルコードを復号し、新しいスレッドで実行します。 yara-ttd は...

DDEtect

DDEtect Written by Amit Serper, @0xAmit DDEtector는 파이썬으로 작성된 간단한 DDE 객체 탐지기입니다. 현재는 Word DOCX 및 레거시 DOC 파일만 지원합니다. DDE 페이로드의 내용을 출력합니다 참고: 일부 경우 DDEtect가 전체 DDE 페이로드를 출력하지 않을 수 있습니다. 더 나은 매칭 알고리즘을 작성 중입니다. 더 많은 기능이 곧 추가될 예정입니다... 참고 사항 이것은 빠르고 대충 만들었습니다. 여기에 있는 모든 작업을 더 좋고 우아한 방식으로 수행할 수 있는 방법이 있...

BadExclusionsNWBO

BadExclusions, 이제 더 나은 OPSEC과 함께 BadExclusionsNWBO는 BadExclusions에서 발전하여 AV/EDR의 폴더 사용자 정의 또는 문서화되지 않은 제외 항목을 식별합니다. 작동 방식 BadExclusionsNWBO는 주어진 경로의 모든 폴더와 하위 폴더에 HookChecker.exe를 복사하여 실행합니다. HookChecker.exe는 BadExclusionsNWBO.exe와 같은 폴더에 있어야 합니다. HookChecker.exe는 EDR 후크의 수를 반환합니다. 후크 수가 7 이하이면...

awesome-linux-attack-forensics-purplelabs

awesome-linux-attack-forensics-purplelabs このページは、高度なLinux攻撃、検出、フォレンジックの技術とツールに関する継続的なハンズオン調査の結果です。 私は長年にわたりレッドvsブルーのアプローチを実践してきたため、以下の資料では、Linux/Kubernetesにおける攻撃・検出・DFIRの範囲で、プロジェクト、技術、戦術の数の規模を確認できます。...

ClientInspectorV2

ClientInspector v2 简介 你掌控全局了吗？ —— 还是你的某些核心基础架构流程，如补丁、防病毒、BitLocker启用 ，正在偏离轨道？或者你想进行高级资产盘点 ，能够对照联想或戴尔的保修信息查询保修状态 ？那就继续往下看。 试试 ClientInspector ，它可以帮助你深入了解 你的整个客户端环境 。 ClientInspector 对社区免费开源 —— 它旨在酷炫展示 如何利用 Azure 日志引入管道 、Azure 数据收集规则 、Azure LogAnalytics 从客户端回传数据 ；并通过 Azure Monitor 和 Azure 仪表板...

WhacAMole

WhacAMole WhacAMole는 메모리 내 프로세스를 통합적으로 분석하고, 악성코드와 관련된 이상 징후를 탐지 및 경고하며, 확인, 상관 분석 또는 분석을 위한 모든 관련 정보를 파일에 저장하고, 의심스러운 메모리 영역, 프로세스 및 모듈을 덤프하는 프로그램입니다. 이를 위해 프로세스의 메모리 영역 및 로드된 모듈의 이상 징후뿐만 아니라 프로세스가 사용하는 모든 메모리 공간을 심층적으로 분석합니다. 현재 WhacAMole는 악의적인 행동 또는 악성코드에 의해서만 발생할 수 있는 67개의 경고를 식별할 수 있습니다. 프로세...

ioc-scanner-CVE-2019-19781

CVE-2019-19781 用侵害指標スキャナ このリポジトリには、CVE-2019-19781 に関連する Citrix ADC アプライアンスの侵害を検出するためのユーティリティが含まれています。 このユーティリティとそのリソースは、FireEye Mandiant の調査中に収集された侵害指標をエンコードしています。 詳細については、このツールのリリースを発表したブログ をご覧ください。 要約すると、このユーティリティは次のことを行います。 既存の侵害を特定するために最善を尽くします。 次のことは 行いません : 侵害を常に100%特定すること、または...