NTDLL-Unhook

NTDLL Unhook ネイティブAPIによるntdll .textセクションの適切なアンフック。x86/x64/wow64対応。 仕組み プログラムはPEBを走査してntdll.dllのベースアドレスを特定し、Import Address Tableに触れることなくPEエクスポートテーブルを手動で解析してNT...

HashDump-BypassEDR

1 プロジェクト概要 システムのホワイトリストプログラムである Reg.exe の拡張的な活用により、セキュリティソフトの検知ポイントを巧みに迂回し、EDRを回避してDumpHashを実現します。 実際のテストによると、この方法はWindows系システムに対して有効で、操作の難易度は低く、実戦での価値があります。 本プロジェクトの実戦記事： EDRを迂回してDumpHashを実現する方法-AabyssZG'Blog EDRを迂回してDumpHashを実現する方法-国家网络空间安全云社区...

CVE-2025-61156

CVE-2025-61156 ThreatFire System Monitor（=v4.7.0.53）のカーネルモード TfSysMon.sys コンポーネントに、非特権ユーザーがカーネルモードの権限で任意のプロセス終了を実行できるようにする脆弱性が発見されました。その結果、PPL および保護されたシステムプロセスは強制的に停止される可能性があり、これにはアンチマルウェア、EDR ソリューション、エージェント型クライアントなどが含まれますが、これらに限定されません。これは、ローカルでの EDR Bypass と Denial of Service の両方を引き起こす可能性があります。...

DSCourier

DSCourier 설명 DSCourier는 Microsoft 서명된 바이너리를 통해 DSC 구성을 적용하기 위해 WinGet Configuration COM API를 사용하는 개념 증명입니다. 별도의 블로그 게시물에서 이 기술에 대한 전체 기술 심층 분석을 제공합니다. DSCourier는 주로 연구 주제로 구축되었으며, 완성된 도구라기보다는 개념 증명으로 보아야 합니다. 그 가치의 대부분은 운영자가 직접 구성 파일을 생성하는 등 수정, 확장 및 실험하는 데서 비롯됩니다. 이 연구 프로젝트는 호기심과 재미로 만들어졌으며 악의적으...

ExecuteAssembly

설명: ExecuteAssembly는 CS execute-assembly의 대안으로, C/C++로 제작되었으며 .NET 어셈블리를 로드/인젝션할 수 있습니다. 호스트spawnto 프로세스에 로드된 CLR 모듈/AppDomainManager를 재사용하고, 로더/.NET 어셈블리 PE DOS 헤더를 스톰핑stomping하며, .NET 관련 모듈을 언링크unlink하고, ETW+AMSI를 우회하며, NT 정적 시스템 콜x64을 통해 EDR 후크를 회피하고, superfasthash 해싱 알고리즘으로 API를 동적 해석하여 임포트를...

EDRSandblast

EDRSandBlast EDRSandBlast は、C で書かれたツールであり、脆弱性のある署名済みドライバを悪用して、EDR の検出（Notify Routine コールバック、Object Callbacks、ETW TI プロバイダー）や LSASS の保護をバイパスします。また、ユーザーランド監視を回避するための複数のユーザーランドアンフック技術も実装されています。 リリース時点では、ユーザーランド（--usermode）とカーネルランド（--kernelmode）の技術を組み合わせて、EDR の監視下で LSASS...

ICMP-Ghost-A-Fileless-x64-Assembly-C2-Agent

root@kitploit: |\ |\ |\ |\ |\ |\ \ |\ |\ \ \ \ | \ \ \\ \ \ |\ \ \ || \ | \ \ |||\ \ \ \ \ \ \ \ \ \\ \ \ \ \ \ \ \ \ \ \ \ \ \ |\ \ \ \ \ \ \ \\ ||\ \ \ \ \ \ \ |\ \ \ \ \ \ \ \ \ \\ \ \ \ \ \\ \ |||||||\ || ||| ||...

PolyEngine

PolyEngine — Polymorphic PE Packer 📦 PolyEngine is a research-grade, evasive PE packer designed for CTF challenges and low-level Windows security education. It focuses on bypassing EDR and AV heuristics through a layered stack of in-memory execution and obfuscation techniques. This is a side...

SharpBlock

SharpBlock EDR의 활성 프로젝션 DLL이 진입점 실행을 차단하는 것을 우회하는 방법입니다. 기능 EDR DLL의 진입점 실행을 차단하여 EDR 후크가 배치되는 것을 방지합니다. 런타임 시 Amsi.dll 코드 패치를 찾는 스캐너가 감지할 수 없는 패치리스 AMSI 우회를 제공합니다. 호스트 프로세스를 디스크, HTTP 또는 명명된 파이프Cobalt Strike에서 로드할 수 있는 임플란트 PE로 대체합니다. 임플란트된 프로세스는 숨겨져서 속이 빈 프로세스를 찾는 탐지를 우회하는 데 도움이 됩니다. 명령줄 인수는...

Shhhloader

Shhhloader Shhhloader는 작업 중인 셸코드 로더입니다. 원시 셸코드를 입력으로 받아 AV/EDR을 우회하기 위해 다양한 작업을 수행하는 C++ 스텁을 컴파일합니다. 포함된 Python 빌더는 Mingw-w64가 설치된 모든 Linux 시스템에서 작동합니다. 1/25/24 업데이트: Shhhloader는 이제PoolParty 변종 7을 지원합니다! 또한 실행된 셸코드가 백업되지 않은 메모리에 상주하지 않도록 PoolParty와 Module Stomping을 결합하는 옵션이 추가되었습니다. 아래에서 Defender...

MoveEdr

MoveEDR 管理者であれば、ブート直後でサービスが開始される前に、Windows にフォルダやファイルの削除・移動を強制させることができます。これは EDR を無効化するために利用できます。 使い方 !CAUTION CrowdStrike には問題があり、「INACCESSIBLEBOOTDEVICE」というメッセージが表示されてブートループに陥ります。 私の推測では、CrowdStrike 自体かソフトウェア展開ソリューションが、欠落した CrowdStrike ファイルをインストールしようとするものの失敗し、壊れた状態のまま残してしまうのだと思います。...

awesome-edr-bypass

멋진 EDR 우회 🛡️ 윤리적 해킹을 위한 멋진 EDR 우회 자료 ⚔️ EDR 우회 기술은 공격자만을 위한 것이 아닙니다. 많은 악성코드가 이제 EDR 우회 기능을 갖추고 있어, 침투 테스터와 사고 대응자도 이에 대해 알고 있어야 합니다. 이 저장소는 공격을 확대하는 데 사용하기 위한 것이 아닙니다. 윤리적 해킹을 위해 사용하십시오. PoC trickster0/TartarusGate: TartarusGate, EDR 우회 am0nsec/HellsGate: Hell's Gate VX 기법의 원본 C 구현 해당 논문 PDF는 EDR...

EtwSessionHijacking

EtwSessionHijacking: 阻止 Procmon 监控网络事件的 PoC 演示: https://user-images.githubusercontent.com/111295429/186082150-32ed304b-ba45-42a4-8baa-37dd75246c68.mp4 基于: 现代 EDR 的设计问题: 绕过基于 ETW 的解决方案...

CVE-2026-36425

CVE-2026-36425 : OPSWAT AppRemover 任意プロセス終了 署名されたOPSWATカーネルドライバで、要求に応じて任意のプロセスを強制終了します。管理者権限不要、権限チェックなし、問答無用。EDR、アンチウイルス、PPLで保護されたプロセスを指定すると、即座に終了します。3種類の異なる強制終了方法があり、すべてカーネルモードで実行され、任意のローカルユーザーからの単一のIOCTLでトリガーされます。脆弱なドライバのバリアントが16個特定され、すべて有効な署名が付与されています。 ⚠️...

inceptor

🚩 이곳은 Inceptor의 공개 저장소입니다. 최신 버전과 업데이트를 원하시면 https://porchetta.industries/ 를 통해 지원해 주시기 바랍니다. 🚩 후원자 이 프로젝트를 후원하고 Inceptor의 최신 업데이트, 수정된 최신 이슈, 최신 기능을 받으시려면 https://porchetta.industries/ 에서 지원해 주세요. 공식 Discord 채널 Discord에서 함께 놀아요! Porchetta Industries 목차 개요 설치 사용법 소식 NW: 현재 템플릿 엔진을 개선하기 위해 작업 중입니다...

EDR-Preloader

EDR-Preloader AppVerifierレイヤーをハイジャックすることで、EDRが自プロセスにDLLをフックまたはロードするのを防ぐEDRバイパス 詳細はこちら: malwaretech.com/2024/02/bypassing-edrs-with-edr-preload.html...

SigFlip

これは何ですか？ SigFlip は、オーセンティコード署名付き PE ファイル exe、dll、sys など を、既存のオーセンティコード署名に影響を与えたり壊したりしない方法でパッチ適用するためのツールです。言い換えれば、ファイルの署名、整合性チェック、または PE ファイルの機能を壊すことなく、データ シェルコードなど を埋め込むことで PE ファイルのチェックサムやハッシュを変更できます。 SigInject は、シェルコードを暗号化して PE ファイルの WINCERTIFICATE 証明書テーブルに注入します。暗号化キーは、基本的な BOF/C/C ローダー SigLoade...

SharpToken

SharpToken 레드팀이 수평 이동을 할 때, 다른 사용자의 권한을 탈취해야 하는 경우가 많습니다. 현대적인 EDR의 방어 아래에서는 Mimikatz를 사용하여 다른 사용자 권한을 얻기가 어렵고, 대상 사용자의 프로세스가 살아 있지 않으면 "OpenProcessToken"을 사용하여 토큰을 탈취할 방법이 없습니다. SharpToken은 토큰 누출을 악용하기 위한 도구입니다. 시스템의 모든 프로세스에서 누출된 토큰을 찾아 사용할 수 있습니다. 낮은 권한의 서비스 사용자라면 이를 사용하여 "NT AUTHORITY\SYSTEM"...

hades

소개 Hades 는 현대 AV/EDR에서 일반적으로 사용되는 방어 메커니즘을 우회하는 것을 목표로 여러 회피 기술을 결합한 개념 증명 로더입니다. 사용법 가장 쉬운 방법은 Linux에서 make를 사용하여 프로젝트를 빌드하는 것입니다. root@kitploit: git clone https://github.com/f1zm0/hades && cd hades make...

maldev-for-dummies

초보자를 위한 멀웨어 개발 EDR 시대에, 레드팀 운영자는 더 이상 사전 컴파일된 페이로드를 사용하여 빠져나갈 수 없습니다. 따라서 멀웨어 개발은 모든 운영자에게 필수적인 기술이 되고 있습니다. 멀웨어 개발을 시작하는 것이 어렵게 보일 수 있지만, 실제로는 매우 쉽습니다. 이 워크숍은 시작하는 데 필요한 모든 것을 보여줍니다! 이 저장소에는 Hack in Paris 2022 및 X33fcon 2023에서 진행되었거나 진행될 'MalDev for Dummies' 워크숍의 슬라이드와 함께 제공되는 실습 자료가 포함되어 있습니다...