The vulnerability of the control console of the MaxPatrol EDR detection and response system allows a perpetrator to trigger a service failure.

The vulnerability of the control console of the MaxPatrol EDR detection and response system is related to access control errors. Exploiting this vulnerability could allow a malicious actor to cause service failures...

laurel

Linux Audit – Usable, Robust, Easy Logging LAUREL is an event post-processing plugin for auditd8 that generates useful, enriched JSON-based audit logs suitable for modern security monitoring setups. Documentation corresponding to the latest stable release can be found here. Why? TLDR: Instead of...

ImpulsiveDLLHijack

ImpulsiveDLLHijack C 기반 도구로, 대상 바이너리에서 DLL 하이재킹을 발견하고 악용하는 과정을 자동화합니다. 발견된 하이재킹 경로는 이후 RedTeam 작전에서 EDR을 우회하기 위해 무기화될 수 있습니다. 1. 방법론적 접근 : 이 도구는 기본적으로 DLL 하이재킹을 위해 수행되는 다음 단계를 자동화합니다: 발견Discovery - 잠재적으로 취약한 DLL 하이재킹 경로 찾기 악용Exploitation - 확인 DLL이 하이재킹된 경로에서 로드되었는지 확인하여 100% 악용 가능한 DLL 하이재킹을 확인...

TelemetrySourcerer

텔레메트리 소서러 소개 Telemetry Sourcerer는 Windows에서 AV/EDR이 사용하는 일반적인 텔레메트리 소스를 열거하고 비활성화할 수 있습니다. 레드 팀원과 보안 애호가는 연구실 환경에서 이 도구를 사용하여 다음을 수행할 수 있습니다: 상대하는 제품의 수집 기반 사각지대를 식별합니다. 특정 유형의 이벤트를 생성하는 텔레메트리 소스를 확인합니다. 도구의 변조 기능 사용이 탐지로 이어질 수 있는지 검증합니다. 개인 연구실 구축에 대한 자세한 내용은 제 게시물인 EDR 텔레메트리를 개인 인프라로 전환하기를 참고하세...

Metamorph

Metamorph はじめに このツールは、Windows向けのC言語で書かれたコマンドラインユーティリティで、永続的なEvent Tracing for Windows ETW AutoLoggerセッションを作成・設定します。AutoLoggerはシステム起動時に特定のETWプロバイダーのトレースを自動的に開始するため、起動プロセスの初期に発生するイベントのキャプチャや、継続的な監視シナリオに役立ちます。 このツールは、コマンドライン引数によって、既知のEDRに関連するETWプロバイダーの定義済み リスト...

LoadReload

LoadReload Shellcodeローダー（私が修士論文で行った研究に基づく）、Sliver-Shellcode（25MB未満....）向けに設計されています。 !Note 機能: ペイロードのMultibyte-XOR復号 ペイロードをローカルから取得 KUSERSHAREDDATAを介したBusySleep関数によるアンチエミュレーション EDR無効化 / メモリスキャナのリソース浪費のためのRW-RXループ 「Network Module from Stomped Module」などの動作アラートに対するNetwork-DLLのプリロード...

RingReaper

RingReaper RingReaper は、EDRソリューションに検知される可能性を最小限に抑えながら、ステルスに動作する必要がある人向けに設計された、Linux向けのシンプルなポストエクスプロイテーションエージェントです。このプロジェクトの背後にあるアイデアは、Linuxカーネルの新しい非同期I/Oインターフェースであるiouring を活用して、ほとんどのEDRが監視またはフックする傾向にある従来のシステムコールを回避することです。...

PhantomCtx

PhantomCtx PhantomCtxは、アクティベーションコンテキストハイジャックを自動化し、署名済み実行ファイル（例：Microsoft、Adobe、Mozilla）の大部分に任意のDLLをロードすることを目的としたツールです。 このローダーは、従来のDLLハイジャック &...

NTDLL-Unhook

NTDLL Unhook ネイティブAPIによるntdll .textセクションの適切なアンフック。x86/x64/wow64対応。 仕組み プログラムはPEBを走査してntdll.dllのベースアドレスを特定し、Import Address Tableに触れることなくPEエクスポートテーブルを手動で解析してNT...

BYOSI

BYOSI EDR을 우회하는 간단한 방법: 후킹된 API를 전혀 건드리지 않는 것. 이론 대부분의 EDR이 스크립팅 파일을 스캔하지 못하고 단순 텍스트 파일로 취급한다는 점을 발견했습니다. EDR 입장에서는 불행한 일이지만, 우리에게는 이익을 얻을 기회입니다. 메모리 상주나 스레드 인젝션 같은 화려한 방법은 철저히 모니터링됩니다. 유효한 인증 기관CA이 서명한 바이너리가 없으면 실행이 거의 불가능합니다. BYOSIBring Your Own Scripting Interpreter를 소개합니다. 모든 스크립팅 인터프리터는 제작자가...

HashDump-BypassEDR

1 プロジェクト概要 システムのホワイトリストプログラムである Reg.exe の拡張的な活用により、セキュリティソフトの検知ポイントを巧みに迂回し、EDRを回避してDumpHashを実現します。 実際のテストによると、この方法はWindows系システムに対して有効で、操作の難易度は低く、実戦での価値があります。 本プロジェクトの実戦記事： EDRを迂回してDumpHashを実現する方法-AabyssZG'Blog EDRを迂回してDumpHashを実現する方法-国家网络空间安全云社区...

EDR-Telemetry

EDR Telemetry 📖 概要 EDR製品とSysmonなどのエンドポイントエージェントが提供するテレメトリ機能を包括的に比較します。このプロジェクトは、セキュリティ実務者がテレメトリ機能を評価できるようにするとともに、ベンダーの透明性を促進します。 🌐 完全な比較と分析については、ウェブサイトをご覧ください 。 📝 このプロジェクトの詳細は、初回リリースのブログ記事でご覧いただけます。 🎯 主な機能 複数のEDRソリューションにわたる包括的なテレメトリ比較 機能評価のための詳細なスコアリングシステム 最新の機能を反映した定期的な更新 コミュニティ主導のコントリビューションと検証 ...

PhantomFS

PhantomFS ProjFS プロバイダー。ファイルの内容が、それを読み取るプロセスに依存するように投影します。ペイロードは AES-256-CBC で暗号化されてディスクに保存され、実行時にのみメモリ内で復号化されます。許可されたプロセスが読み取ろうとするとペイロードがディスクに書き込まれるため、これは EDR をバイパスするものではありません。それ以外のプロセスはアクセス拒否されます。これは一部のアナリストを怒らせるかもしれません。彼らのツールはそれを読み取れないか、単にデコイをロードするだけだからです。しかし、これは reparse point を使用した ProjFS...

UnhookMe

UnhookMe - 동적으로 언후킹하는 임포트 리졸버 침입적 AV와 EDR이 향상된 가시성 요구를 위해 실행 중인 프로세스에 핫 패치를 도입하는 시대에, 현대의 공격자는 이러한 감시 체계를 통과할 강력한 도구가 필요합니다. 사용 중인 함수를 실시간으로 언후킹할 수 있는 동적 임포트 리졸버의 제안된 구현은 공격자의 복원력 강화 노력을 위한 또 하나의 단계입니다. 여기서 제안하는 솔루션은 링커가 해결한 WinAPI 임포트컴파일된 실행 파일의 PE 헤더, 특히 Import Address Table에 표시됨를 사용하는 대신, 임포트를...

Phantom-Evasion-Loader

SROP支援のクロスメモリアタッチ（CMA）インジェクション（ダイレクトシステムコール経由）。 👻 Phantom-Evasion-Loader x64 Linux Phantom-Evasion-Loaderは、最新のEDR/XDRソリューションやFalco（eBPF）などのカーネルレベルモニターの検出表面を最小化するために設計された、スタンドアロンの純粋なx64アセンブリインジェクションエンジンです。SROPやゼロコピーインジェクションといった高度な技術を活用し、ペイロードをマシン内のゴーストとして配送します。 🧠 このコードは一体何をするのか？...

HydraDragonAntivirus

Hydra Dragon Antivirus 📚 詳細なドキュメント、アーキテクチャ図、コンポーネントガイドについては、プロジェクト Wiki をご覧ください。 警告: 活発な開発が進行中 このプロジェクトは本番環境には対応していません。 破壊的な変更、バグ、不完全な機能が発生する可能性があります。 ⚠️ お知らせ: このリポジトリは、専門的なマルウェアアナリストおよびセキュリティ研究者専用です。 低レベルのシステムコンポーネントや実験的なセキュリティドライバが含まれており、安全に取り扱うには専門的な知識が必要です。...

openedr

OpenEDR OpenEDR 팀은 소스 코드가 공개적으로 제공되어 제품과 서비스를 함께 프로비저닝하고 관리할 수 있는 사이버보안 플랫폼을 만드는 것을 믿습니다. EDR이 바로 그 시작점입니다. OpenEDR은 완전한 EDR 역량을 갖춘 제품입니다. 이는 세계에서 가장 정교하고 효과적인 EDR 코드 기반 중 하나이며, 커뮤니티의 도움으로 더욱 발전할 것입니다. OpenEDR은 무료이며 소스 코드는 공개되어 있습니다. OpenEDR을 사용하면 기본 보안 이벤트 수준에서 전체 환경에서 발생하는 상황을 분석할 수 있습니다. 이러한...

BestEdrOfTheMarket

Best EDR Of The Market BEOTM V3 🐲🏴‍☠️ Best Edr Of The Market은 엔드포인트 탐지 및 대응EDR 보안 제품에서 사용하는 탐지 방법과 그 우회 기법을 낮은 수준의 관점에서 구현하고 이해하기 위해 설계된 오픈소스 실습 환경입니다. 이 기법들은 주로 Windows NT의 원격 측정 기능을 활용하여 프로세스 동작을 동적으로 분석하는 데 기반합니다. ➡️​ BestEdrOfTheMarket의 커널 버전에서 새로워진 점은? 방어 기능 현재 버전v3은 Windows 커널이 제공하는 몇 가지 차단...

SysmonSimulator

SysmonSimulator SysmonSimulator는 C 언어로 작성된 오픈 소스 Windows 이벤트 시뮬레이션 유틸리티로, WINAPI를 사용하여 대부분의 공격을 시뮬레이션하는 데 사용할 수 있습니다. 블루 팀이 EDR 탐지 및 상관 관계 규칙을 테스트하는 데 사용할 수 있습니다. 관련 Sysmon 이벤트 ID에 대한 공격 데이터를 생성하기 위해 만들었습니다. 블로그 포스트: 이 도구는 블로그 포스트에서 설명되었습니다: https://rootdse.org/posts/understanding-sysmon-events/...

lutlol

Living Under the Land on Linux 同名のトークの資料: BSides Belfast 2025 BSides Vienna 2025 このコードはそのままでは特に使い物になりませんが、参考にはなるかもしれません。 役立つもの: src/ ディレクトリ - トーク内のほとんどのもののソースコード ProcrastinationEDR - おそらく世界最悪の EDnot reallyR Sneaky Remap - 隠すためのもの Anime Costume Cheese - 注入可能な共有オブジェクトファイル Kas-playing as Curl in a...