GhostKatz

GhostKatz 通过滥用带有签名的易受攻击驱动程序，利用 MmMapIoSpace 直接读取物理内存，从 LSASS 中提取凭据，从而绕过传统的用户态检测能力。 本工具由 Julian Peña 与 Eric Esquivel 合作开发。 此版本的 GhostKatz 使用了已公开披露为易受攻击的驱动程序。为获得最佳效果，GhostKatz 旨在配合暴露读取内存原语漏洞且加载时未被阻止/公开已知的内核驱动程序使用。本次公开发布不包括针对此前未公开驱动程序的利用代码。相反，该项目设计为模块化且可扩展，允许用户研究自己的驱动程序，并通过扩展 utils.c...

imMapper

imMapper Una demostración sobre cómo abusar del controlador vulnerable AmdTools64. El controlador tiene la capacidad de solo Leer/Escribir Memoria del Espacio del Kernel, así como Leer/Escribir el MSR. Esto requiere Privilegios de Administrador. El controlador se distribuye a través de la...

NSecSoftBYOVD

NSecSoftBYOVD Actualización 2026.1.13: A la vulnerabilidad se le ha asignado el número CVE-2025-68947 Referencia: https://bbs.kafan.cn/thread-2284992-1-1.html, https://blog.csdn.net/qq40827990/article/details/148997201 Silverfox Group utiliza ampliamente las mismas técnicas para finalizar proceso...

CVE-2020-14974

CVE-2020-14974 一个简单的 POC，演示了在 IObitUnlocker 1.1.2 中发现的一个漏洞，利用其易受攻击的驱动 IObitUnlocker.sys 中的 IOCTL 代码，使低权限用户能够解锁、删除、重命名、复制和移动正在运行的文件。 Resources https://nvd.nist.gov/vuln/detail/CVE-2020-14974 https://theevilbit.github.io/posts/iobitunlockerlpe/...

Terminator

Terminator Reproducción de la técnica de Spyboy, que consiste en terminar todos los procesos de EDR/XDR/AV abusando del controlador zam64.sys Spyboy vendía el software Terminator a un precio de $3,000 para más detalles la muestra proviene de loldrivers uso la versión compilada se puede encontrar...

54 EDR Killers Use BYOVD to Exploit 35 Signed Vulnerable Drivers and Disable Security

A new analysis of endpoint detection and response EDR killers has revealed that 54 of them leverage a technique known as bring your own vulnerable driver BYOVD by abusing a total of 35 vulnerable drivers. EDR killer programs have been a common presence in ransomware intrusions as they offer a way...