STrace

STrace Steves Tracer. Eine DTrace-Neuimplementierung von Syscall-Hooks unter Windows. Stellen Sie sich das wie einen PatchGuard-kompatiblen SSDT-Hook vor, jedoch ohne Hacks. SSSDT win32k-APIs wird nicht unterstützt, da die DTrace-Systemaufruf-APIs selbst diese zusätzliche Tabelle nicht...

NyxInvoke

NyxInvoke O NyxInvoke é uma ferramenta versátil baseada em Rust projetada para executar assemblies .NET, comandos/scripts PowerShell, Beacon Object Files BOFs e arquivos PE, com recursos integrados de unhooking de NtDll, bypass de AMSI e ETW sem patch. Ele pode ser compilado como um executável...

AMSI-ETW-Patch

AMSI-ETW-Patch este repositório contém informações para aplicar patch no AMSI e no ETW usando um patch de um único byte para ambos. A ideia era limitar a detecção do próprio patch, já que é um único byte. AMSI patch-amsi-x64.c A ideia é que o AMSI realiza muitas verificações de validação antes de...

ExecuteAssembly

Beschreibung: ExecuteAssembly ist eine Alternative zu CS execute-assembly, entwickelt in C/C++, und kann verwendet werden, um .NET-Assemblies zu laden/injizieren, indem es die geladenen CLR-Module/AppDomainManager des Host-Prozesses spawnto wiederverwendet, die PE-DOS-Header von...

CVE-2021-34486

CVE-2021-34486 Windows Etw LPE Nur getestet unter Windows 20H2 x64 ed2k://|file|cnwindows10businesseditionsversion20h2updatedmarch2021x64dvdca61aaaa.iso|6074574848|B6741C4E4B09337471B02DC95E953992|/ Danke an @yongchuank https://www.pixiepointsecurity.com/blog/advisory-cve-2021-34486.html...

GRAT2

GRAT2 C2 root@kitploit: c.-.c c.-.c c.-.c c.-.c c.-.c / .. \ / .. \ / .. \ / .. \ / .. \ \ Y / \ Y / \ Y / \ Y / \ Y / .-/'-'-..-/'-'-..-/'-'-..-/'-'-..-/'-'-. || G || || R || || A || || T || || 2 || .' -' '. .' -' '. .' -' '. .' -' '. .' -' '. .-./-'.-..-./-.-..-./-'.-..-./-'.-..-./-'.-...

OffensiveCSharp

OffensiveCSharp Questa è una raccolta di strumenti C e POC che ho creato per l'uso in operazioni. Ogni progetto è progettato per non utilizzare librerie esterne. Apri il file .SLN di ogni progetto in Visual Studio e compila come "Release". Progetto| Descrizione| Versione minima .NET ---|---|---...

Winshark

Winshark Wireshark प्लगइन जो विंडोज के लिए इवेंट ट्रेसिंग Event Tracing for Windows के साथ काम करता है Microsoft Message Analyzer को सेवानिवृत्त किया जा रहा है और इसके डाउनलोड पैकेज 25 नवंबर 2019 को microsoft.com साइटों से हटा दिए गए थे। Wireshark ने नेटवर्क प्रोटोकॉल विघटनकर्ताओं dissectors की ए...

BOF_ExecuteAssembly

BOF Execute-Assembly Beacon-Objekt-Datei für Cobalt Strike, die .NET-Assemblies im Beacon mit Umgehungstechniken ausführt. Übersicht Kernarchitektur root@kitploit: ┌──────────────────────────────────────────────────────────────────────────────┐ │ Cobalt Strike Beacon │ │ Parent Process │...

BamboozlEDR

BamboozlEDR Uma ferramenta abrangente de geração de eventos ETW Event Tracing for Windows projetada para fins de teste e pesquisa. O BamboozlEDR possui uma interface TUI e pode gerar eventos de segurança realistas em vários provedores ETW do Windows para testar capacidades de detecção de EDR,...

RPCMon

Ein GUI-Tool zum Scannen von RPC-Kommunikation durch Event Tracing for Windows ETW. Das Tool wurde im Rahmen einer Forschung über RPC-Kommunikation zwischen dem Host und einem Windows-Container veröffentlicht. Übersicht RPCMon kann Forschern helfen, einen Überblick über die RPC-Kommunikation...

TiEtwAgent

TiEtwAgent - Detecção de injeção de processo baseada em ETW Este projeto foi criado para pesquisar, construir e testar diferentes casos de uso de detecção de injeção de memória e técnicas de bypass. O agente utiliza o provedor de rastreamento de eventos Microsoft-Windows-Threat-Intelligence, como...

EtwSessionHijacking

EtwSessionHijacking: Um Poc sobre como bloquear o Procmon de monitorar eventos de rede Demo: https://user-images.githubusercontent.com/111295429/186082150-32ed304b-ba45-42a4-8baa-37dd75246c68.mp4 Baseado em : Problemas de Design de EDRs Modernos: Contornando Soluções Baseadas em ETW...

RpcInvestigator

RPC Investigator Leggi il nostro annuncio sul blog. RPC Investigator RPCI è un'applicazione .NET/C Windows Forms UI che fornisce un'interfaccia avanzata di scoperta e analisi per gli endpoint RPC di Windows. Lo strumento offre un'interfaccia visiva attorno alle capacità RPC di base esistenti dell...

Sealighter

Sealighter – Einfaches ETW-Tracing für die Sicherheitsforschung Ich habe dieses Projekt erstellt, um Nicht-Entwicklern den Einstieg in die Recherche von Event Tracing for Windows ETW und Windows PreProcessor Tracing WPP zu erleichtern. Features Mehrere ETW- und WPP-Anbieter gleichzeitig abonniere...

memhunter

Memhunter Caccia automatizzata al malware residente in memoria su larga scala Questo progetto è IN LAVORAZIONE. Sono previste modifiche alle funzionalità e rilasci binari nelle prossime settimane. Panoramica Memhunter è uno strumento sensore per endpoint specializzato nel rilevamento di malware...

memhunter

Memhunter Automated hunting of memory resident malware at scale This project is WORK IN PROGRESS. Expect feature changes and binary releases on the upcoming weeks. Overview Memhunter is an endpoint sensor tool that is specialized in detecing resident malware, improving the threat hunter analysis...

QLOG

Update Juli 2022 Wir haben QLOG als Experiment gestartet, um mehr über Windows ETW zu lernen. QLOG bietet erweitertes Logging für Prozesserstellungsereignisse unter Windows. Wir haben die Entwicklung von QLOG eingestellt, weil inzwischen kostenlose Tools veröffentlicht wurden, die ETW für...

TelemetrySourcerer

Telemetry Sourcerer Introduzione Telemetry Sourcerer è in grado di enumerare e disabilitare le fonti comuni di telemetria utilizzate da AV/EDR su Windows. I red teamer e gli appassionati di sicurezza possono utilizzare questo strumento in un ambiente di laboratorio per: Identificare i punti ciech...

LightsOut

LightsOut LightsOut generiert eine verschleierte DLL, die AMSI & ETW deaktiviert und gleichzeitig versucht, AV zu umgehen. Dies geschieht durch Randomisierung aller verwendeten WinAPI-Funktionen, XOR-Kodierung von Zeichenketten und Nutzung grundlegender Sandbox-Prüfungen. Mingw-w64 wird verwendet...