faxhell

faxhell "Fax Shell" A Proof-of-Concept bind shell using the Fax service and a DLL hijack based on Ualapi.dll. See our writeup at: https://windows-internals.com/faxing-your-way-to-system/ How to use Build Ualapi.dll and place in c:\windows\system32 Start the Fax service, which will load the DLL an...

encrypted-linux-kernel-modules

ELKM: Módulos de kernel cargables cifrados para Linux x86-64 ELKM proporciona un mecanismo para transportar y cargar de forma segura Módulos de Kernel Cargables LKM cifrados. El objetivo es proteger rootkits e implantes basados en kernel contra la observación por parte del software de Detección y...

ZipExec

ZipExec ZipExec 是一个概念验证 POC 工具，用于将基于二进制的工具封装到受密码保护的 zip 文件中。该 zip 文件随后被 base64 编码成一个字符串，并重新构建到磁盘上。这个编码后的字符串被加载到一个 JScript 文件中，执行时会将受密码保护的 zip 文件重新构建到磁盘并执行它。这是通过使用 COM 对象以编程方式实现的，利用 Windows 中的 GUI 函数通过生成的 JScript 加载器，无需先解压即可直接执行受密码保护的 zip 内的加载器。通过密码保护 zip 文件，可以保护二进制文件免受 EDR 以及基于磁盘或反恶意软件扫描机制的影响。 安装...

Project-Onyx

Project Onyx Advanced EDR Evasion via AI Telemetry Spoofing & WASM Sandboxing. Project Onyx is a PoC Red Team pipeline designed to demonstrate advanced evasion techniques against modern EDR systems. It shifts away from traditional signature-based obfuscation towards behavioral camouflage and stri...

Skrull

Skrull Skrull 是一款恶意软件 DRM，可防止 AV/EDR 自动提交样本以及内核级签名扫描。它使用进程幻影（Process Ghosting）技术生成能在受害者机器上运行恶意软件的加载器。此外，这些加载器完全防复制，且在提交时自然损坏。 这是 ROOTCON & HITCON 2021 演讲的概念验证，请查看 Skrull Like A King: From File Unlink to Persistence 和 Skrull Like A King：從重兵看守的天眼防線殺出重圍 : 注意：由于幻影技术，目前仅支持 x64 PE。 视频演示...

EDR-Redir

EDR-Redir EDR-Redir utiliza un Bind Filter mini filter bindflt.sys para redirigir la carpeta de trabajo de la Detección y Respuesta de Endpoints EDR a una carpeta elegida por el atacante. Alternativamente, puede hacer que la carpeta parezca corrupta para impedir que los servicios de proceso de la...

PhantomFS

PhantomFS Proveedor de ProjFS. Proyecta archivos cuyo contenido depende de qué proceso los lee. El payload se almacena cifrado con AES-256-CBC en disco, descifrado solo en memoria en tiempo de ejecución. Esto no debería evadir ningún EDR, ya que el payload se escribirá en disco cuando procesos...

shad0w

SHAD0W SHAD0W 是一个模块化 C2 框架，旨在成功运行于成熟环境中。 它采用多种方法规避 EDR 和 AV，同时允许操作者继续使用他们熟悉的工具和技术。它由 Python 3.8 和 C 驱动，并使用 Donut 生成有效载荷。通过结合 Donut 与 SHAD0W 的进程注入能力，操作者可以在内存中完全执行 .NET 程序集、DLL、EXE、JS、VBS 或 XSL。大量使用动态解析的系统调用来避免用户态 API 挂钩，利用反 DLL 注入技术使 EDR 难以将其代码加载到信标中，并采用官方 Microsoft 缓解方法来保护生成的进程。 安装与使用说明请参阅 wiki。...

thirdeye

第三只眼 用户模式下的 WDAMONITOR/WDAEXCLUDEFROMCAPTURE 绕过器，使用未文档化的Windows函数和C绑定。 主要特性： PEB 遍历 Halo's Gate 自定义 PE 节 未文档化的 Windows 函数 快速粗略的 EDR/AV 规避（VirusTotal 上 2/72） 直接系统调用 开始使用 安装包： root@kitploit: dotnet add thirdeye 用法（C） 截取屏幕截图，揭露任何隐藏窗口： root@kitploit: using ThirdEye; using var session = new...

spawn

SPAWN - Cobalt Strike BOF Cobalt Strike BOF，用于生成一个牺牲进程，向其注入shellcode并执行载荷。通过使用任意代码保护（ACG）、BlockDll和PPID欺骗生成牺牲进程，旨在绕过EDR/用户态钩子。 由于ACG，此工具不支持依赖于以下功能的shellcode： 在RW与RX之间切换内存权限。 RWX内存 如需向依赖上述功能的生成进程注入shellcode，请参见Hollow BOF项目 关于ACG的精彩讲解，请参见下面Adam Chestner的博客。 新功能 2021年8月1日...

CLR-Unhook

CLR Unhooking Tool 注意：要使此操作达到干净 CLR 的效果，您需要手动将 DLL 从磁盘映射到内存。不能使用 LoadLibraryA/W，因为防病毒解决方案会检测到 DLL 加载事件并可能立即挂钩。如果您想要此行为，可以在 GitHub 上查找现有的手动映射器并集成到您的代码库中。我在此不包含此类映射器，因为 AV 供应商通常不喜欢那样。 一个原生 C++ 工具，通过恢复原始的 nLoadImage 函数实现，绕过 .NET 公共语言运行时中的 EDR/AV 挂钩。 快速描述 此工具从 CLR 的 nLoadImage 函数中移除安全产品挂钩——该函数是处理所有内存...

Invoke-ArgFuscator

░█░█▄░█░█▒█░▄▀▄░█▄▀▒██▀░▒░ ▄▀▄▒█▀▄░▄▀▒▒█▀░█▒█░▄▀▀░▄▀▀▒▄▀▄░▀█▀░▄▀▄▒█▀▄░ ░█░█▒▀█░▀▄▀░▀▄▀░█▒█░█▄▄░▀▀░█▀█░█▀▄░▀▄█░█▀░▀▄█▒▄██░▀▄▄░█▀█░▒█▒░▀▄▀░█▀▄░ Invoke-ArgFuscator Invoke-ArgFuscator es un módulo de PowerShell de código abierto y multiplataforma que ayuda a generar líneas de comandos ofuscadas para...

obex

Obex - Bloqueo de DLL Obex es una herramienta/técnica de PoC que se puede utilizar para evitar que módulos no deseados p. ej., EDR o librerías de monitorización se carguen en un proceso recién iniciado durante la inicialización del proceso o en tiempo de ejecución. Características Inicia cualquie...

Kittysploit-framework

KittySploit Framework 现代红队的新一代攻击引擎 网站 • Wiki • 使用指南 • 市场 模块化 • 可扩展 • AI驱动 为什么选择KittySploit？ 当传统工具在现代Web架构和自动化防御面前举步维艰时，KittySploit以前沿技术重新定义了攻击格局： 自主AI| Zig载荷| 实时协作| 智能代理 ---|---|---|--- 通过本地LLM（Ollama）规划攻击的AI代理。| 集成Zig 0.16编译的隐秘载荷。| 实时共享编辑器，实现无缝团队协作。| 自动检测技术并直接从流量中运行模块。 关键特性 自主代理...

NimPackt-v1

基于Nim的打包器，用于.NET可执行文件和原始Shellcode 作者：Cas van Cooten（@chvancooten） 特别感谢：Marcello Salvati（@byt3bl33der）和Fabian Mosch（@S3cur3Th1sSh1t） 描述 更新： NimPackt-v1 是我写过的最烂的代码之一（我当时刚开始学Nim）。因此，我开始完全重写NimPackt，代号为'NimPackt-NG'（目前仍为私有）。在这次重写中，我决定将旧分支（"NimPackt-v1"）开源。因此，该分支不再维护，且不提供任何形式的保证或支持。当然，PR永远欢迎 : NimPack...

nim-shell

Nim-Shell 能够绕过EDR和Windows Defender检测的反向Shell 请勿上传至VirusTotal 安装说明 root@kitploit: $ apt install nim 编译 nim c -d:mingw --app:gui nimshell.nim 根据您的设备，更改nimshell.nim文件中您要监听的IP地址和端口号。 监听 root@kitploit: $ nc -nvlp 4444...

SilentButDeadly

SilentButDeadly Resumen SilentButDeadly es un bloqueador de comunicaciones de red diseñado específicamente para neutralizar software EDR/AV impidiendo su conectividad en la nube utilizando la Plataforma de Filtrado de Windows WFP. Esta versión se centra únicamente en el aislamiento de red sin...

acheron

About Acheron is a library inspired by SysWhisper3/FreshyCalls/RecycledGate, with most of the functionality implemented in Go assembly. acheron package can be used to add indirect syscall capabilities to your Golang tradecraft, to bypass AV/EDRs that makes use of usermode hooks and instrumentatio...

MsfMania

MsfMania MsfMania 是一款基于 Python 的高级 Payload 混淆框架，旨在规避 Windows 系统上的 EDR/AV 检测。它通过动态代码生成、多层加密（RC4）以及二进制元数据伪造，生成高度多态的可执行文件。 ⚠️ 仅限教育用途 —— 本工具仅适用于授权的安全测试与研究。 目录 截图 功能特性 环境要求 安装 使用方法 基本帮助 完整示例 免责声明 许可证 截图 功能特性 多态 C 桩代码，支持变量/函数名混淆 本地内存注入（RWX） 使用 4 表 S-box 的 RC4 变体，修改的 KSA/PRGA 算法，可配置密钥长度（1-3 字节） 基于 djb2...

fudcrypt

fudcrypt Python3 Based Obfuscator That Can bypass any antivirus easily. Important: root@kitploit: 1. Make Sure your payload file have all the libraries import and it will be a valid payload file 2. If Your Payload get detected then let me know i will update the stub. 3. If u need cobalt strike...