UnhookMe

UnhookMe - 动态解除挂钩的导入解析器 在侵入性防病毒软件和EDR引入热补丁以增强其监控能力的时代，现代对手必须拥有强大的工具来绕过这些看守。这里提出的动态导入解析器实现，能够即时解除所用函数的挂钩，是加强对手韧性努力的又一步。 我在这里提出的解决方案是，从使用链接器解析的WinAPI导入（在编译后可执行文件的PE头中可见，特别是导入地址表）转向完全动态的方法，仅以动态方式解析导入。这种动态解析器可以配备在后台运行的解除挂钩逻辑，无需操作员任何指导。 最简单的使用示例 以下是如何确保以解除挂钩、不受监控的方式调用MessageBoxW： root@kitploit:...

LOLBITS

root@kitploit: ██╗ ██████╗ ██╗ ██████╗ ██╗████████╗███████╗ ██║ ██╔═══██╗██║ ██╔══██╗██║╚══██╔══╝██╔════╝ ██║ ██║ ██║██║ ██████╔╝██║ ██║ ███████╗ ██║ ██║ ██║██║ ██╔══██╗██║ ██║ ╚════██║ ███████╗╚██████╔╝███████╗██████╔╝██║ ██║ ███████║ ╚══════╝ ╚═════╝ ╚══════╝╚═════╝ ╚═╝ ╚═╝ ╚══════╝ 目录 关于项目 致谢...

CrimsonEDR

CrimsonEDR root@kitploit: / | | | | \ | | | | | | | | | | | | | '| | ' / |/ | ' | | | | | | / | || | | | | | | | | \ \ | | | | || || | | \ \ || ||| || ||//|| |||/|| \ 由 Matthias Ossard 开发 https://github.com/Helixo32 CrimsonEDR...

defcon33_silence_kill_edr

🛡️ Taller DEFCON: Poniendo a los EDR en su Lugar 💀 Matando y Silenciando Agentes EDR como un Adversario Configuración Matando EDR Evasion de EDR Personalizada 🎯 Lo Que Harás Cada estudiante recibirá su propio entorno de laboratorio para: 🔍 Investigar un agente EDR en vivo: descubrir sus hooks,...

Chimera

Chimera Unlea$ed 工具背景 虽然DLL sideloading可用于合法目的，例如加载程序运行所需的库，但它也可能被用于恶意用途。攻击者可以利用DLL sideloading在目标系统上执行任意代码，通常利用加载DLL的合法应用程序中的漏洞。 为了自动化DLL sideloading过程并使其更有效，我们创建了Chimera，该工具包含了规避EDR/AV产品的逃避方法。该工具可以使用随机密钥通过XOR自动加密shellcode，并创建可导入Visual Studio以生成恶意DLL的模板镜像。 此外，还使用了来自SysWhispers3的动态系统调用（Dynamic...

frostbyte

FrostByte 前言： 过去几天我一直在尝试 AppDomain 管理器注入 技术，在之前的红队演练中，它针对某些 EDR 取得了不错的成功。虽然这对于初始访问向量来说非常不错，但我想发布一个 POC，帮助你将 shellcode 隐藏在其他地方。不再需要嵌入 shellcode 的 DLL 文件！ 问题！ 虽然这是一项独立使用时非常出色的技术，但当与诸如通过 ISO/ZIP/VHD/VHDX 文件发送 C ClickOnce 之类的投递技术结合时，真正的问题是：有十分之一的概率，用于 appdomain 的 DLL 会被 AV/EDR 的 AI/ML 启发式检测到。这是因为在初始化...

faxhell

faxhell "Fax Shell" A Proof-of-Concept bind shell using the Fax service and a DLL hijack based on Ualapi.dll. See our writeup at: https://windows-internals.com/faxing-your-way-to-system/ How to use Build Ualapi.dll and place in c:\windows\system32 Start the Fax service, which will load the DLL an...

faxhell

faxhell（“Fax Shell”） 一个利用 Fax 服务和基于 Ualapi.dll 的 DLL 劫持的概念验证型绑定后门。 详见我们的文章：https://windows-internals.com/faxing-your-way-to-system/ 如何使用 构建 Ualapi.dll 并放入 c:\windows\system32 启动 Fax 服务，该服务将加载 DLL 并调用导出函数 UalStart。UalStart 会将一个线程池工作项排队，该工作项将打开一个指向 RpcSs 的句柄，找到 SYSTEM...

NimPackt-v1

基于Nim的打包器，用于.NET可执行文件和原始Shellcode 作者：Cas van Cooten（@chvancooten） 特别感谢：Marcello Salvati（@byt3bl33der）和Fabian Mosch（@S3cur3Th1sSh1t） 描述 更新： NimPackt-v1 是我写过的最烂的代码之一（我当时刚开始学Nim）。因此，我开始完全重写NimPackt，代号为'NimPackt-NG'（目前仍为私有）。在这次重写中，我决定将旧分支（"NimPackt-v1"）开源。因此，该分支不再维护，且不提供任何形式的保证或支持。当然，PR永远欢迎 : NimPack...

ImpulsiveDLLHijack

ImpulsiveDLLHijack Herramienta basada en C que automatiza el proceso de descubrir y explotar DLL Hijacks en binarios objetivo. Las rutas secuestradas descubiertas pueden luego ser armadas durante operaciones de Red Team para evadir EDR. 1. Enfoque metodológico : La herramienta básicamente actúa...

ThreadStackSpoofer

Thread Stack Spoofing / Call Stack Spoofing PoC Una implementazione PoC per una tecnica avanzata di evasione in-memory che falsifica lo Stack dei Thread. Questa tecnica permette di bypassare le regole di esame della memoria basate sui thread e nascondere meglio gli shellcode mentre sono in memori...

Nimcrypt2

Nimcrypt2 Nimcrypt2 è un altro packer/loader di PE progettato per bypassare AV/EDR. È un miglioramento del mio originale progetto Nimcrypt, con i principali miglioramenti che sono l'uso di syscall dirette e la capacità di caricare file PE normali oltre a shellcode grezzi. Prima di proseguire, dev...

ShellGhost

ShellGhost Una tecnica di evasione basata sulla memoria che rende lo shellcode invisibile dall'inizio alla fine del processo. Motivazione Volevo condividere questo POC di self-injection di shellcode per illustrare alcuni concetti di evasione AV/EDR che potrebbero rivelarsi utili per il Red Teamin...

ZipExec

ZipExec ZipExec è un Proof-of-Concept POC per avvolgere strumenti binari in un file zip protetto da password. Questo file zip viene poi codificato in base64 in una stringa che viene ricostruita su disco. Questa stringa codificata viene quindi caricata in un file JScript che, una volta eseguito,...

shad0w

SHAD0W SHAD0W ist ein modulares C2-Framework, das dafür ausgelegt ist, in ausgereiften Umgebungen erfolgreich zu operieren. Es nutzt eine Reihe von Methoden, um EDR und AV zu umgehen, während der Operator weiterhin die ihm vertrauten Tools und Techniken einsetzen kann. Es basiert auf Python 3.8 u...

HellHall

HellsHall - Un altro modo per recuperare syscall pulite HellsHall è una combinazione di HellsGate e syscall indirette. Come funziona In primo luogo, HellsHall controlla se l'indirizzo della syscall è hookato e tenta di recuperare il numero della syscall verificando la presenza dei seguenti byte:...

hookchain

Hookchain Abstract - EN Nell'attuale ecosistema della sicurezza digitale, in cui le minacce evolvono rapidamente e con complessità, le aziende che sviluppano soluzioni di Endpoint Detection and Response EDR sono costantemente alla ricerca di innovazioni che non solo tengano il passo, ma anticipin...

Dirty-Vanity

Dirty Vanity Una POC per la nuova tecnica di injection, che abusa dell'API fork di Windows per eludere gli EDR. Utilizzo DirtyVanity.exe TARGETPIDTOREFLECT Passaggi di esecuzione Allocare e scrivere lo shellcode in TARGETPIDTOREFLECT Eseguire il fork di TARGETPIDTOREFLECT in un nuovo processo...

encrypted-linux-kernel-modules

ELKM: Verschlüsselte ladbare Linux-x86-64-Kernelmodule ELKM bietet einen Mechanismus, um verschlüsselte ladbare Kernelmodule LKM sicher zu übertragen und zu laden. Ziel ist es, kernelbasierte Rootkits und Implantate vor der Beobachtung durch Endpoint-Detection-and-Response-Software EDR zu schütze...

obex

Obex - Blocco DLL Obex è uno strumento/tecnica PoC che può essere utilizzato per impedire il caricamento di moduli indesiderati ad es. librerie EDR o di monitoraggio in un processo appena avviato, durante l'inizializzazione del processo o a runtime. Caratteristiche Avvia qualsiasi processo con...