etl-parser

etl-parser 순수 Python으로 작성된 이벤트 추적 로그ETL 파일 리더 etl-parser는 ETL Windows 로그 파일을 위한 순수 Python 3 파서 라이브러리입니다. ETL은 ETW의 기본 형식이자 커널 로거의 기본 형식입니다. etl-parser는 시스템 종속성이 없으며 Windows와 Linux 모두에서 잘 동작합니다. 이 형식은 문서화되어 있지 않기 때문에 Geoff Chappel의 블로그 정보와 Airbus CERT 팀의 리버스 엔지니어링 활동을 결합했습니다. ETL이란 무엇이며 왜 다루기 어려운가...

etl-parser

etl-parser Event Trace Log file reader in pure Python etl-parser is a pure Python 3 parser library for ETL Windows log files. ETL is the default format for ETW as well as the default format for the Kernel logger. etl-parser has no system dependencies, and will work well on both Windows and Linux...

memhunter

Memhunter 메모리 상주 악성코드에 대한 자동 헌팅을 확장 가능하게 수행합니다 이 프로젝트는 WORK IN PROGRESS개발 진행 중입니다. 향후 몇 주 내에 기능 변경 및 바이너리 릴리스가 예정되어 있습니다. 개요 Memhunter는 엔드포인트 센서 도구로, 상주 악성코드 탐지를 특화하여 위협 헌터의 분석 프로세스 및 대응 시간을 개선합니다. 이 도구는 엔드포인트 프로세스에 존재하는 메모리 상주 악성코드를 탐지하고 보고합니다. Memhunter는 알려진 악성 메모리 인젝션 기법을 탐지합니다. 탐지 프로세스는 실시간 분...

memhunter

Memhunter Automated hunting of memory resident malware at scale This project is WORK IN PROGRESS. Expect feature changes and binary releases on the upcoming weeks. Overview Memhunter is an endpoint sensor tool that is specialized in detecing resident malware, improving the threat hunter analysis...

InlineExecute-Assembly

InlineExecute-Assembly InlineExecute-Assembly는 보안 전문가가 Cobalt Strike의 기존 fork and run execute-assembly 모듈 대신 프로세스 내 .NET 어셈블리 실행을 수행할 수 있도록 하는 개념 증명 Beacon Object FileBOF입니다. InlineExecute-Assembly는 진입점이 Mainstring args 또는 Main인 모든 어셈블리를 실행합니다. 이를 통해 사전 수정 없이 대부분의 공개된 도구를 실행할 수 있습니다. BOF는 실행 전에...

EventHorizon

EventHorizon EventHorizon은 보안 분석가 및/또는 연구자에게 ETWEvent Tracing for Windows 텔레메트리와 시그마 유사 규칙을 결합하여 강력한 엔드포인트 탐지 및 대응 기능을 제공하는 도구입니다. 그렇지만 EventHorizon은 적절한 솔루션을 대체하는 것은 아닙니다. 이 프로젝트는 주로 ETW 텔레메트리를 수집하고 코드를 작성하지 않고도 탐지 규칙을 생성할 수 있는 편의성을 제공하기 위한 것입니다. 이러한 편의성을 높이기 위해 EventHorizon의 설정 과정은 최대한 간단하게...

RpcInvestigator

RPC 조사기 저희의 블로그 포스트 공지사항을 읽어보세요. RPC 조사기RPCI는 .NET/C Windows Forms UI 애플리케이션으로, Windows RPC 엔드포인트에 대한 고급 검색 및 분석 인터페이스를 제공합니다. 이 도구는 NtApiDotNet 플랫폼의 기존 핵심 RPC 기능을 둘러싼 시각적 인터페이스를 제공하며, 다음을 포함합니다: 모든 활성 ALPC RPC 서버 열거 모든 PE 파일에서 RPC 서버 파싱 프로세스 및 해당 프로세스가 로드한 모듈서비스 포함에서 RPC 서버 파싱 심볼 서버에서 심볼 정보 가져오기...

EtwSessionHijacking

EtwSessionHijacking: Procmon이 네트워크 이벤트를 모니터링하지 못하도록 차단하는 Poc 데모: https://user-images.githubusercontent.com/111295429/186082150-32ed304b-ba45-42a4-8baa-37dd75246c68.mp4 기반 : 현대 EDR의 설계 문제: ETW 기반 솔루션 우회...

BOF_ExecuteAssembly

BOF Execute-Assembly Cobalt Strike용 Beacon Object File로, 회피 기법을 사용하여 비콘에서 .NET 어셈블리를 실행합니다. 개요 핵심 아키텍처 ┌──────────────────────────────────────────────────────────────────────────────┐ │ Cobalt Strike Beacon │ │ Parent Process │...

Nemesis

Nemesis 내일 업데이트를 푸시하고, 라이선스를 변경하며, 데이터 스틸러에 대항하는 몇 가지 새로운 몬스터도 추가할 예정입니다. 악성 샘플에서 jlaive 포크들을 계속 보다가, 실제로 런타임에 분해할 만한 공개 도구가 없어서 짜증나서 만든 윈도우 도구입니다. 간단히 말해, 네이티브 레이어에서 CLR을 후킹하고, 리플렉티브 어셈블리 로드를 추적하며, PE를 메모리에서 직접 자동 덤프하는 .NET 프로세스 모니터입니다. 또한 원본 온디스크 바이너리와 비교하여 AMSI 및 ETW 무결성을 확인하고, clr.dll 문자열 패치 ...

RemotePSpy

RemotePSpy RemotePSpy는 원격 PowerShell 세션의 실시간 모니터링을 제공하며, 포괄적인 로깅 기능이 내장되어 있지 않은 구형5.0 이전 PowerShell 버전에서 특히 유용합니다. 이 도구는 ETWEvent Tracing for Windows를 사용하여 원격 PowerShell의 전송 계층으로 사용되는 WinRM 프로토콜에서 메시지 데이터를 수집하고, 다양한 프로토콜 계층을 디코딩하여 실행된 스크립트 명령과 그 입력/출력의 추적을 제공합니다. 현재 이 도구는 초기 연구용 프로토타입이므로 PowerShe...

GRAT2

GRAT2 C2 c.-.c c.-.c c.-.c c.-.c c.-.c / .. \ / .. \ / .. \ / .. \ / .. \ \ Y / \ Y / \ Y / \ Y / \ Y / .-/'-'-..-/'-'-..-/'-'-..-/'-'-..-/'-'-. || G || || R || || A || || T || || 2 || .' -' '. .' -' '. .' -' '. .' -' '. .' -' '. .-./-'.-..-./-.-..-./-'.-..-./-'.-..-./-'.-. -' -' -' -' -'...

LightsOut

LightsOut LightsOut는 AMSI & ETW를 비활성화하면서 AV를 회피하려는 난독화된 DLL을 생성합니다. 이는 사용된 모든 WinAPI 함수를 무작위화하고, 문자열을 xor 인코딩하며, 기본 샌드박스 검사를 활용하여 수행됩니다. Mingw-w64는 난독화된 C 코드를 AMSI나 ETW가 존재하는 모든 프로세스예: PowerShell에 로드할 수 있는 DLL로 컴파일하는 데 사용됩니다. LightsOut는 python3와 mingw-w64가 설치된 Linux 시스템에서 작동하도록 설계되었습니다. 다른 종속성은...

CVE-2021-34486

CVE-2021-34486 Windows ETW 권한 상승LPE Windows 20H2 x64에서만 테스트됨 ed2k://|file|cnwindows10businesseditionsversion20h2updatedmarch2021x64dvdca61aaaa.iso|6074574848|B6741C4E4B09337471B02DC95E953992|/ @yongchuank 님 감사합니다 https://www.pixiepointsecurity.com/blog/advisory-cve-2021-34486.html...

AMSI-patches-learned-till-now

지금까지 배운 AMSI 패치 지금까지 배운 모든 AMSI 패치를 문서로 정리했습니다 ❗ 지금까지의 내 AMSI 패치 학습. 우리 회사 자산에 속하지 않습니다! 고지 사항: 이 코드는 지금까지 탐지 회피용이 아닙니다! 단지 개념적 접근일 뿐입니다! 링크: 1. https://web.archive.org/web/20220718153535/https://pre.empt.dev/posts/maelstrom-etw-amsi/AntimalwareScanInterfaceAMSI 2...

whids

IMPORTANT: this README and other documentation is not updated to reflect the changes made to latest beta releases as a lot of changes happened. All this will be updated in time when a stable version will be released see Roadmap until next release. Feel free to run beta releases on your own and as...

Metamorph

Metamorph 소개 이 도구는 C로 작성된 Windows용 명령줄 유틸리티로, 영구 ETWEvent Tracing for Windows AutoLogger 세션을 생성하고 구성합니다. AutoLogger는 시스템 부팅 시 특정 ETW 공급자의 추적을 자동으로 시작하므로, 부팅 초기 단계에서 발생하는 이벤트를 캡처하거나 지속적인 모니터링 시나리오에 유용합니다. 이 도구는 명령줄 인수를 통해 알려진 EDR과 관련된 ETW 공급자의 사전 정의된 목록 을 AutoLogger 세션에 포함하도록 선택할 수 있게 합니다. 동일한 공급자...

EtwLeakKernel

EtwLeakKernel 이 저장소는 ETW를 사용하여 커널 메모리 주소를 유출하는 프로그램의 PoC를 포함합니다. 이는 소비자를 생성하고거의 모든 공급자가 커널 주소를 유출하므로 거의 모든 공급자에 대해 가능 스택 추적을 요청함으로써 작동합니다. 스택 추적을 받으면 이를 파싱하여 커널 메모리 주소를 추출합니다. Microsoft는 관리자에서 커널로의 경계를 보안 경계로 간주하지 않기 때문에, 이 상황은 당분간 변경되지 않을 것입니다. 일부 익스플로잇 시나리오에서 유용할 수 있습니다예: ETW 공급자가 커널 기본 주소에서 특정...

Winshark

Winshark Wireshark 플러그인으로 Windows용 이벤트 추적Event Tracing for Windows과 함께 작동합니다 Microsoft Message Analyzer는 지원이 중단되었으며, 2019년 11월 25일에 microsoft.com 사이트에서 다운로드 패키지가 제거되었습니다. Wireshark는 방대한 네트워크 프로토콜 디섹터 라이브러리를 구축했습니다. Windows를 위한 최고의 도구는 모든 유형의 로그를 수집하고 혼합할 수 있는 도구일 것입니다... 환영합니다 Winshark!!! Winshar...

Stracciatella

Stracciatella v0.7 C 내부에서 Powershell runspace 일명 SharpPick 기법를 통해 AMSI, ETW, 스크립트 블록 로깅을 비활성화하여 제공합니다. 오늘날 Powershell은 다음과 같은 기술로 심각하게 계측되었습니다: AMSI ETW 스크립트 블록 로깅 기록 파일Transcript 모듈 로깅 제한된 언어 모드Constrained Language Mode 고급 공격자는 정교한 적대적 시뮬레이션 훈련을 수행하기 위해 이러한 노력을 우회할 방법을 찾아야 합니다. 이러한 노력을 돕기 위해 다음...