hades

关于 Hades 是一款概念验证加载器，它结合了多种规避技术，旨在绕过现代 AV/EDR 常用的防御机制。 使用 最简单的方法可能是在 Linux 上使用 make 构建项目。 git clone https://github.com/f1zm0/hades && cd hades make 然后将可执行文件带到 x64 Windows 主机上，用 .\hades.exe options 运行。 PS .\hades.exe -h '||' '||' | '||''|. '||''''| .|'''.| || || ||| || || || . ||.. ' ||''''|| | || ...

MoveEdr

MoveEDR Si eres administrador, puedes forzar a Windows a eliminar o mover carpetas y archivos inmediatamente después del arranque, antes de que se inicien los servicios. Esto se puede usar para deshabilitar EDRs. Uso !CAUTION Hay un problema con CrowdStrike que provoca un bucle de arranque con el...

Shhhloader

Shhhloader Shhhloader 是一个仍在开发中的 Shellcode 加载器。它接收原始 Shellcode 作为输入，并编译一个 C++ 存根，该存根会执行一系列不同的操作以尝试绕过 AV/EDR。附带的 Python 构建器可以在任何安装了 Mingw-w64 的 Linux 系统上运行。 2024年1月25日编辑：Shhhloader 现已支持PoolParty 变体 7！还添加了一个选项，可将 PoolParty 与模块占用（Module Stomping）相结合，以防止执行的 Shellcode 驻留在未备份内存中。以下视频演示了这种针对 Defender ATP...

NTDLL-Unhook

NTDLL 脱钩 通过原生API实现正确的ntdll.dll .text节脱钩。支持x86/x64/wow64。 工作原理 程序遍历PEB定位ntdll.dll基地址，手动解析PE导出表以解析NT...

maldev-for-dummies

菜鸟恶意软件开发指南 在 EDR 时代，红队操作人员再也无法依赖预编译的有效载荷了。因此，恶意软件开发正在成为每位操作人员的必备技能。开始接触恶意开发可能看起来令人生畏，但实际上非常简单。本次动手实践将告诉你开始所需的一切！ 该仓库包含了在 Hack in Paris 2022 和 X33fcon 2023 上举办（或即将举办）的“菜鸟恶意开发”动手实践的幻灯片和配套练习。虽然这些幻灯片是为“现场”演示而设计的，但相关材料和练习将一直保留在此处，供你按自己的节奏完成——学习过程不应仓促！欢迎对本仓库提出问题或建议，提交 Issue 和 Pull Request。 ⚠ 免责声明：...

SharpBlock

SharpBlock 一种通过阻止入口点执行来绕过EDR主动投影DLL的方法。 功能特性 阻止EDR DLL入口点执行，从而防止放置EDR钩子。 无补丁的AMSI绕过，运行时的补丁扫描器无法检测到Amsi.dll的修改。 主机进程可被替换为从磁盘、HTTP或命名管道加载的植入PE文件（Cobalt Strike） 植入的进程被隐藏，有助于规避扫描空心化进程的检测。 命令行参数在进程创建后使用隐蔽的EDR检测方法进行伪造和植入。 无补丁的ETW绕过。 当调用者位于被阻止DLL的地址空间范围内时，阻止NtProtectVirtualMemory的调用。 SharpBlock by...

awesome-edr-bypass

Awesome EDR Bypass 🛡️ Awesome EDR Bypass 资源，面向道德黑客 ⚔️ EDR 绕过技术并非仅为攻击者所用。如今许多恶意软件已具备 EDR 绕过能力，渗透测试人员和事件响应者也应了解这些知识。本仓库不应用于升级攻击，请用于道德黑客攻防。 PoC trickster0/TartarusGate: TartarusGate, 绕过 EDRs am0nsec/HellsGate: Hell's Gate VX 技术的原始 C 实现 该 PDF 论文提供了 EDR 绕过技术的精彩总结。 Maldev-Academy/HellHall: 执行间接干净系统调用...

PolyEngine

PolyEngine — Polymorphic PE Packer 📦 PolyEngine is a research-grade, evasive PE packer designed for CTF challenges and low-level Windows security education. It focuses on bypassing EDR and AV heuristics through a layered stack of in-memory execution and obfuscation techniques. This is a side...

SharpToken

SharpToken 在红队横向移动过程中，我们经常需要窃取其他用户的权限。在现代EDR的防御下，我们很难使用Mimikatz获取其他用户权限，而且如果目标用户没有活动进程，我们也无法使用"OpenProcessToken"来窃取Token。 SharpToken是一个利用Token泄露的工具。它可以从系统中所有进程中找到泄露的Token并使用它们。如果你是低权限的服务用户，你甚至可以用它将权限提升到"NT AUTHORITY\SYSTEM"，并且可以在不需要目标用户密码的情况下切换到目标用户的桌面执行更多操作... 用法 SharpToken By BeichenDream...

EDR-Preloader

EDR-Preloader 一种EDR绕过技术，通过劫持AppVerifier层防止EDR向我们的进程挂钩或加载DLL。 详细信息请参阅：malwaretech.com/2024/02/bypassing-edrs-with-edr-preload.html...

HashDump-BypassEDR

1 Resumen del proyecto Mediante el uso extendido del programa de confianza del sistema Reg.exe, se sortean hábilmente los puntos de interceptación del antivirus, logrando el objetivo de evadir el EDR para realizar un DumpHash. Según las pruebas reales, este método es eficaz contra los sistemas de...

DSCourier

DSCourier 描述 DSCourier 是一个概念验证，使用 WinGet Configuration COM API 通过微软签名的二进制文件应用 DSC 配置。一篇单独的博客文章对该技术进行了全面的技术深入分析。 DSCourier 主要是作为一个研究主题构建的，应被视为概念验证，而非一个完善的完整工具。其大部分价值来自于操作者自行修改、扩展和实验，包括创建自己的配置文件。本研究项目出于好奇和乐趣而创建，不应被恶意使用。 该技术已绕过多个企业级 EDR 解决方案。 博客文章 dylansec.com/DSCourier 构建与发布 Releases 目录包含编译后的...

inceptor

🚩 这是 Inceptor 的公开仓库，如需最新版本和更新，请通过 https://porchetta.industries/ 支持我们。 🚩 赞助商 如果您想赞助本项目并获取 Inceptor 的最新版本、已解决问题和最新功能，请通过 https://porchetta.industries/ 支持我们。 官方 Discord 频道 来 Discord 上聊聊吧！ Porchetta Industries 目录 概述 安装 用法 新闻 NW：我们目前正致力于改进模板引擎！一旦发布下一版本，有关如何使用、定制和扩展该工具的说明将发布在 Wiki 中。 概述...

ICMP-Ghost-A-Fileless-x64-Assembly-C2-Agent

|\ |\ |\ |\ |\ |\ \ |\ |\ \ \ \ | \ \ \\ \ \ |\ \ \ || \ | \ \ |||\ \ \ \ \ \ \ \ \ \\ \ \ \ \ \ \ \ \ \ \ \ \ \ |\ \ \ \ \ \ \ \\ ||\ \ \ \ \ \ \ |\ \ \ \ \ \ \ \\ \ \ \ \ \\ ||||||||\ || ||| || Implante C2 sin archivos, en ensamblador x64 puro, que utiliza una...

EtwSessionHijacking

EtwSessionHijacking: un PoC sobre el bloqueo de Procmon para evitar que monitoree eventos de red Demo: https://user-images.githubusercontent.com/111295429/186082150-32ed304b-ba45-42a4-8baa-37dd75246c68.mp4 Basado en : Problemas de diseño de los EDR modernos: evadiendo soluciones basadas en ETW...

EDRSandblast

EDRSandBlast EDRSandBlast 是一个用 C 编写的工具，它利用一个有漏洞的已签名驱动程序来绕过 EDR 检测（通知例程回调、对象回调和 ETW TI 提供程序）以及 LSASS 保护。还实现了多种用户态脱钩技术，以规避用户态监控。 在发布时，结合了用户态（--usermode）和内核态（--kernelmode）技术，在 EDR 监视下转储了 LSASS 内存，既没有被阻止，也没有在产品（云）控制台中生成与“OS Credential Dumping”相关的事件。测试在 3 种不同的 EDR 产品上进行，并且在每种情况下都成功了。 描述 通过移除内核通知例程绕过 E...

ExecuteAssembly

描述： ExecuteAssembly 是 Cobalt Strike execute-assembly 的一个替代方案，使用 C/C++ 构建。它可以通过以下方式加载/注入 .NET 程序集：重用宿主（spawnto）进程已加载的 CLR 模块/AppDomainManager、覆盖加载器/.NET 程序集 PE DOS 头部、解除 .NET 相关模块的链接、绕过 ETW+AMSI、通过 NT 静态系统调用（x64）规避 EDR 钩子，以及通过 SuperFastHash 哈希算法动态解析 API 来隐藏导入。 简要（特性）： 从 PEB 数据结构中解除 CLR 相关模块的链接（使用微...

SigFlip

这是什么？ SigFlip 是一款用于修补已进行 Authenticode 签名的 PE 文件（exe、dll、sys 等）的工具，其修补方式不会影响或破坏已有的 Authenticode 签名。换句话说，你可以在不破坏文件签名、完整性检查或 PE 文件功能的前提下，通过嵌入数据（例如 shellcode）来改变 PE 文件的校验和/哈希值。 SigInject 会将 shellcode 加密并注入到 PE 文件的 WINCERTIFICATE 证书表中，加密密钥会打印出来，供基本的 BOF/C/C 加载器（SigLoader）使用。SigInject 会将修改后的 PE...

CVE-2026-36425

CVE-2026-36425 : OPSWAT AppRemover Arbitrary Process Termination Un controlador kernel de OPSWAT firmado que mata cualquier proceso bajo demanda. Sin necesidad de derechos de administrador, sin comprobaciones de privilegios, sin hacer preguntas. Apúntalo a un EDR, a un antivirus, a un proceso...

PoC-CVE-2022-30190

POC CVE-2022-30190 : CVE 0-day MS Office RCE 又名 msdt follina 信息：新发现的微软Office零日漏洞被用于攻击中执行PowerShell 概述 2022年5月29日，独立网络安全研究团队NaoSec发现了一个上传到Virustotal的恶意Office文档。该文档利用了非常见但已知的感染方案。某些EDR（例如Microsoft Defender for Endpoint）未能将此方案检测为恶意。此漏洞可能导致无需用户交互即可执行代码，因为它不涉及宏，除非启用了受保护视图模式。目前尚未分配CVE编号。 技术细节...