TelemetrySourcerer

텔레메트리 소서러 소개 Telemetry Sourcerer는 Windows에서 AV/EDR이 사용하는 일반적인 텔레메트리 소스를 열거하고 비활성화할 수 있습니다. 레드 팀원과 보안 애호가는 연구실 환경에서 이 도구를 사용하여 다음을 수행할 수 있습니다: 상대하는 제품의 수집 기반 사각지대를 식별합니다. 특정 유형의 이벤트를 생성하는 텔레메트리 소스를 확인합니다. 도구의 변조 기능 사용이 탐지로 이어질 수 있는지 검증합니다. 개인 연구실 구축에 대한 자세한 내용은 제 게시물인 EDR 텔레메트리를 개인 인프라로 전환하기를 참고하세...

Metamorph

Metamorph はじめに このツールは、Windows向けのC言語で書かれたコマンドラインユーティリティで、永続的なEvent Tracing for Windows ETW AutoLoggerセッションを作成・設定します。AutoLoggerはシステム起動時に特定のETWプロバイダーのトレースを自動的に開始するため、起動プロセスの初期に発生するイベントのキャプチャや、継続的な監視シナリオに役立ちます。 このツールは、コマンドライン引数によって、既知のEDRに関連するETWプロバイダーの定義済み リスト...

EventHorizon

EventHorizon EventHorizon은 보안 분석가 및/또는 연구자에게 ETWEvent Tracing for Windows 텔레메트리와 시그마 유사 규칙을 결합하여 강력한 엔드포인트 탐지 및 대응 기능을 제공하는 도구입니다. 그렇지만 EventHorizon은 적절한 솔루션을 대체하는 것은 아닙니다. 이 프로젝트는 주로 ETW 텔레메트리를 수집하고 코드를 작성하지 않고도 탐지 규칙을 생성할 수 있는 편의성을 제공하기 위한 것입니다. 이러한 편의성을 높이기 위해 EventHorizon의 설정 과정은 최대한 간단하게...

RpcInvestigator

RPC 조사기 저희의 블로그 포스트 공지사항을 읽어보세요. RPC 조사기RPCI는 .NET/C Windows Forms UI 애플리케이션으로, Windows RPC 엔드포인트에 대한 고급 검색 및 분석 인터페이스를 제공합니다. 이 도구는 NtApiDotNet 플랫폼의 기존 핵심 RPC 기능을 둘러싼 시각적 인터페이스를 제공하며, 다음을 포함합니다: 모든 활성 ALPC RPC 서버 열거 모든 PE 파일에서 RPC 서버 파싱 프로세스 및 해당 프로세스가 로드한 모듈서비스 포함에서 RPC 서버 파싱 심볼 서버에서 심볼 정보 가져오기...

BOF_ExecuteAssembly

BOF Execute-Assembly Cobalt Strike용 Beacon Object File로, 회피 기법을 사용하여 비콘에서 .NET 어셈블리를 실행합니다. 개요 핵심 아키텍처 root@kitploit: ┌──────────────────────────────────────────────────────────────────────────────┐ │ Cobalt Strike Beacon │ │ Parent Process │...

Sealighter

Sealighter - 보안 연구를 위한 쉬운 ETW 추적 이 프로젝트는 비개발자들이 ETWEvent Tracing for Windows 및 WPPWindows PreProcessor Tracing 연구에 쉽게 뛰어들 수 있도록 돕기 위해 만들었습니다. 기능 여러 ETW 및 WPP 공급자를 동시에 구독 형식을 몰라도 이벤트를 자동으로 JSON으로 파싱 필터 체이닝 및 필터 부정을 포함한 강력한 이벤트 필터링 표준 출력, 파일 또는 Windows 이벤트 로그다른 도구에서 수집 가능로 출력 이벤트 스택 추적 가져오기 설정 가능한...

BamboozlEDR

BamboozlEDR ETW（Event Tracing for Windows）イベント生成ツール。テストおよび研究目的に設計されています。BamboozlEDRはTUIインターフェースを備え、複数のWindows ETWプロバイダーにわたって現実的なセキュリティイベントを生成し、EDR検出機能、ログ分析システム、セキュリティ監視ソリューションをテストできます。 注：このツールはProof-of-Conceptとして構築されています。洗練されたコードではなく、意図的にユーザー操作を必要とするTUIユーティリティとして作られています。これにより、スキディによる悪用を制限します。 機能...

ExecuteAssembly

설명: ExecuteAssembly는 CS execute-assembly의 대안으로, C/C++로 제작되었으며 .NET 어셈블리를 로드/인젝션할 수 있습니다. 호스트spawnto 프로세스에 로드된 CLR 모듈/AppDomainManager를 재사용하고, 로더/.NET 어셈블리 PE DOS 헤더를 스톰핑stomping하며, .NET 관련 모듈을 언링크unlink하고, ETW+AMSI를 우회하며, NT 정적 시스템 콜x64을 통해 EDR 후크를 회피하고, superfasthash 해싱 알고리즘으로 API를 동적 해석하여 임포트를...

RPCMon

Windows용 이벤트 추적ETW을 통해 RPC 통신을 스캔하는 GUI 도구입니다. 이 도구는 호스트와 Windows 컨테이너 간의 RPC 통신에 대한 연구의 일환으로 발표되었습니다. 개요 RPCMon은 연구자들이 프로세스 간의 RPC 통신에 대한 높은 수준의 개요를 얻는 데 도움을 줄 수 있습니다. 사용하기 쉽도록 Procmon처럼 제작되었으며, RPC를 위해 James Forshaw의 .NET 라이브러리를 사용합니다. RPCMon은 호출되는 RPC 함수, 호출한 프로세스 및 기타 관련 정보를 보여줍니다. RPCMon은 빠른...

AMSI-patches-learned-till-now

迄今学到的AMSI补丁 我已经记录了我迄今学到的所有AMSI补丁 ❗ 我迄今的AMSI补丁学习。不属于我公司的资产！ 免责声明：此代码到目前为止并非旨在规避检测！仅为概念性方法！ 链接： 1. https://web.archive.org/web/20220718153535/https://pre.empt.dev/posts/maelstrom-etw-amsi/AntimalwareScanInterfaceAMSI 2. https://rastamouse.me/memory-patching-amsi-bypass/ 仍有待实现的内容： 1. 通过硬件断点 和VEH...

EtwLeakKernel

EtwLeakKernel...

InlineExecute-Assembly

InlineExecute-Assembly InlineExecute-Assembly는 보안 전문가가 Cobalt Strike의 기존 fork and run execute-assembly 모듈 대신 프로세스 내 .NET 어셈블리 실행을 수행할 수 있도록 하는 개념 증명 Beacon Object FileBOF입니다. InlineExecute-Assembly는 진입점이 Mainstring args 또는 Main인 모든 어셈블리를 실행합니다. 이를 통해 사전 수정 없이 대부분의 공개된 도구를 실행할 수 있습니다. BOF는 실행 전에...

TiEtwAgent

TiEtwAgent - ETW 기반 프로세스 인젝션 탐지 이 프로젝트는 다양한 메모리 인젝션 탐지 사용 사례와 우회 기법을 연구, 구축 및 테스트하기 위해 만들어졌습니다. 에이전트는 Microsoft-Windows-Threat-Intelligence 이벤트 추적 공급자를 사용하며, Userland 후킹보다 더 현대적이고 안정적인 대안으로, 커널 모드 가시성의 이점을 제공합니다. 프로젝트는 ETS 설정 및 소비를 위해 microsoft/krabsetw 라이브러리에 의존합니다. 관련 블로그 게시물은 여기에서 확인할 수 있습니다:...

GRAT2

GRAT2 C2 root@kitploit: c.-.c c.-.c c.-.c c.-.c c.-.c / .. \ / .. \ / .. \ / .. \ / .. \ \ Y / \ Y / \ Y / \ Y / \ Y / .-/'-'-..-/'-'-..-/'-'-..-/'-'-..-/'-'-. || G || || R || || A || || T || || 2 || .' -' '. .' -' '. .' -' '. .' -' '. .' -' '. .-./-'.-..-./-.-..-./-'.-..-./-'.-..-./-'.-...

etl-parser

etl-parser 순수 Python으로 작성된 이벤트 추적 로그ETL 파일 리더 etl-parser는 ETL Windows 로그 파일을 위한 순수 Python 3 파서 라이브러리입니다. ETL은 ETW의 기본 형식이자 커널 로거의 기본 형식입니다. etl-parser는 시스템 종속성이 없으며 Windows와 Linux 모두에서 잘 동작합니다. 이 형식은 문서화되어 있지 않기 때문에 Geoff Chappel의 블로그 정보와 Airbus CERT 팀의 리버스 엔지니어링 활동을 결합했습니다. ETL이란 무엇이며 왜 다루기 어려운가...

etl-parser

etl-parser Event Trace Log file reader in pure Python etl-parser is a pure Python 3 parser library for ETL Windows log files. ETL is the default format for ETW as well as the default format for the Kernel logger. etl-parser has no system dependencies, and will work well on both Windows and Linux...

NyxInvoke

NyxInvoke NyxInvoke は、.NET アセンブリ、PowerShell コマンド/スクリプト、Beacon Object Files BOF、PE ファイルの実行用に設計された多用途の Rust ベースのツールで、Ntdll Unhooking、パッチレス AMSI、ETW バイパス機能を内蔵しています。スタンドアロンの実行ファイルまたは DLL のどちらとしてもコンパイルできます。 特徴 .NET アセンブリの実行 PowerShell コマンドまたはスクリプトの実行 Beacon Object Files BOF の読み込みと実行 PE ファイル EXE の読み込みと...

QLOG

2022년 7월 업데이트 저희는 QLOG를 Windows ETW에 대해 더 배우기 위한 실험으로 시작했습니다. QLOG는 Windows에서 프로세스 생성 이벤트에 대한 강화된 로깅을 제공합니다. 그동안 ETW를 사용하여 텔레메트리를 제공하는 무료 도구들이 출시되었고 QLOG보다 훨씬 나은 성능을 보여주기 때문에 QLOG 개발을 중단했습니다. 궁금하신가요? Nextron의 Aurora Agent를 확인해보세요. Qlog란? QLOG는 API 후크를 사용하지 않으며 대상 시스템에 드라이버를 설치할 필요가 없습니다. QLOG는 오직...

memhunter

Memhunter メモリ常駐型マルウェアの大規模自動ハンティング このプロジェクトは開発中です。機能変更やバイナリリリースが今後数週間以内に行われる予定です。 概要...

memhunter

Memhunter Automated hunting of memory resident malware at scale This project is WORK IN PROGRESS. Expect feature changes and binary releases on the upcoming weeks. Overview Memhunter is an endpoint sensor tool that is specialized in detecing resident malware, improving the threat hunter analysis...