SharpBlock

SharpBlock Un metodo per bypassare le DLL di proiezione attiva degli EDR impedendo l'esecuzione del punto di ingresso. Caratteristiche Blocca l'esecuzione del punto di ingresso delle DLL EDR, impedendo il posizionamento degli hook EDR. Bypass AMSI senza patch, non rilevabile dagli scanner che...

SigFlip

Cos'è? SigFlip è uno strumento per modificare file PE firmati con authenticode exe, dll, sys ..etc in modo che non influisca o rompa la firma authenticode esistente. In altre parole, è possibile modificare il checksum/hash del file PE incorporando dati ad esempio shellcode senza rompere la firma...

maldev-for-dummies

Sviluppo di Malware per Principianti Nell'era degli EDR, gli operatori red team non possono più cavarsela utilizzando payload pre-compilati. Di conseguenza, lo sviluppo di malware sta diventando una competenza fondamentale per qualsiasi operatore. Iniziare con lo sviluppo di malware maldev può...

EDRSandblast

EDRSandBlast EDRSandBlast è uno strumento scritto in C che sfrutta un driver vulnerabile firmato per bypassare i rilevamenti EDR callback Notify Routine, Object Callback e provider ETW TI e le protezioni di LSASS. Sono implementate anche molteplici tecniche di unhooking in userland per eludere il...

CVE-2026-36425

CVE-2026-36425 : OPSWAT AppRemover Willkürliche Prozessbeendigung Ein signierter OPSWAT-Kernel-Treiber, der jeden Prozess auf Abruf beendet. Keine Admin-Rechte erforderlich, keine Privilegienprüfungen, keine Fragen gestellt. Richten Sie ihn auf ein EDR, ein Antivirenprogramm, einen PPL-geschützte...

HWSyscalls

HWSyscalls Principali Contributori Descrizione HWSyscalls è un nuovo metodo per eseguire syscall indirette usando 3 componenti principali: Breakpoint hardware e Vectored Exception Handler per controllare il flusso di esecuzione. HalosGate viene usato per trovare i numeri e gli indirizzi delle...

HashDump-BypassEDR

1 Panoramica del progetto Attraverso l'uso esteso del programma di sistema whitelisted Reg.exe, aggira abilmente i punti di intercettazione dell'antivirus, realizzando l'obiettivo di bypassare l'EDR per effettuare il DumpHash. In base ai test reali, questo metodo è efficace contro i sistemi...

Percino

Percino Loader Golang Evasivo Percino è un loader Golang che esegue shellcode utilizzando la tecnica del process hollowing con misure anti-sandbox e anti-analisi. Lo shellcode è crittografato con l'algoritmo di crittografia Triple DES 3DES. Bypass completo dell'EDR con qualsiasi framework C2...

ScareCrow

QUESTO REPOSITORIO È STATO ARCHIVIATO Per visualizzare l'ultima versione di ScareCrow o per inviare un problema, fare riferimento a https://github.com/Tylous/ScareCrow. ScareCrow Ulteriori Informazioni Se vuoi saperne di più sulle tecniche utilizzate in questo framework, dai un'occhiata alla Part...

CVE-2024-49113

CVE-2024-49113 — Vulnerabilità DoS su LDAP di Windows PoC Autore: SafeBreach Stato: Corretto Microsoft, Patch Tuesday di dicembre 2024 Punteggio CVSSv3: 7.5 Alto Bypass di Windows Server e EDR commerciali Autore: Tim Shing Stato: Non corretto Punteggio CVSSv3: 7.4 Alto ⚠️ Dichiarazione di non...

Voidgate

VOIDGATE Descrição: Uma técnica que pode ser usada para contornar scanners de memória AV/EDR. Ela pode ser usada para ocultar shellcodes bem conhecidos e detectados como msfvenom realizando descriptografia em tempo real de instruções de assembly individuais criptografadas, tornando assim os...

PolyEngine

PolyEngine — Packer PE Polimorfico 📦 PolyEngine è un packer PE evasivo di livello di ricerca, progettato per sfide CTF e formazione sulla sicurezza Windows a basso livello. Si concentra sull'elusione delle euristiche EDR e AV attraverso una pila stratificata di tecniche di esecuzione in memoria e...

EDRSandblast-GodFault

EDRSandblast-GodFault Von Gabriel Landau bei Elastic Security. Modifikation von EDRSandblast - siehe ursprüngliche README unten. Integriert GodFault in EDR Sandblast, um das gleiche Ergebnis ohne die Verwendung verwundbarer Treiber zu erzielen. Beispielausgabe...

PoC-CVE-2022-30190

POC CVE-2022-30190 : CVE 0-day MS Office RCE alias msdt follina Info : Neue Microsoft-Office-Zero-Day-Lücke bei Angriffen zur Ausführung von PowerShell genutzt Zusammenfassung Am 29. Mai 2022 entdeckte das Team von NaoSec, ein unabhängiges Cybersicherheits-Forschungsteam, ein bösartiges...

ExecuteAssembly

Beschreibung: ExecuteAssembly ist eine Alternative zu CS execute-assembly, entwickelt in C/C++, und kann verwendet werden, um .NET-Assemblies zu laden/injizieren, indem es die geladenen CLR-Module/AppDomainManager des Host-Prozesses spawnto wiederverwendet, die PE-DOS-Header von...

EtwSessionHijacking

EtwSessionHijacking: Una PoC per bloccare Procmon dal monitoraggio degli eventi di rete Dimostrazione: https://user-images.githubusercontent.com/111295429/186082150-32ed304b-ba45-42a4-8baa-37dd75246c68.mp4 Basato su : Problemi di progettazione dei moderni EDR: bypassare le soluzioni basate su ETW...

awesome-edr-bypass

Awesome EDR Bypass 🛡️ Risorse Awesome per il Bypass di EDR per Ethical Hacking ⚔️ La tecnologia di bypass degli EDR non è solo per gli attaccanti. Molti malware ora hanno capacità di bypass degli EDR, una conoscenza di cui anche pentester e responder agli incidenti dovrebbero essere consapevoli...

SharpToken

SharpToken Durante il movimento laterale in red team, spesso abbiamo bisogno di rubare le autorizzazioni di altri utenti. Sotto la difesa dei moderni EDR, è difficile per noi usare Mimikatz per ottenere le autorizzazioni di altri utenti, e se l'utente target non ha processi attivi, non abbiamo mo...

inceptor

🚩 Questo è il repository pubblico di Inceptor, per la versione più recente e gli aggiornamenti considera di supportarci su https://porchetta.industries/ 🚩 Sponsor Se vuoi sponsorizzare questo progetto e avere gli ultimi aggiornamenti su Inceptor, le ultime issue risolte, le ultime funzionalità,...

Shhhloader

Shhhloader Shhhloader é um carregador de shellcode em desenvolvimento. Ele recebe shellcode bruto como entrada e compila um stub em C++ que realiza várias ações para tentar contornar AV/EDR. O construtor Python incluído funciona em qualquer sistema Linux com Mingw-w64 instalado. Edição de 25/01/2...