ExecuteAssembly

Описание: ExecuteAssembly — это альтернатива CS execute-assembly, написанная на C/C++, и может использоваться для загрузки/внедрения .NET-сборок путём: повторного использования загруженных модулей CLR/AppDomainManager процесса-хоста spawnto, затирания заголовков PE DOS загрузчика/.NET-сборки,...

NyxInvoke

NyxInvoke NyxInvoke は、.NET アセンブリ、PowerShell コマンド/スクリプト、Beacon Object Files BOF、PE ファイルの実行用に設計された多用途の Rust ベースのツールで、Ntdll Unhooking、パッチレス AMSI、ETW バイパス機能を内蔵しています。スタンドアロンの実行ファイルまたは DLL のどちらとしてもコンパイルできます。 特徴 .NET アセンブリの実行 PowerShell コマンドまたはスクリプトの実行 Beacon Object Files BOF の読み込みと実行 PE ファイル EXE の読み込みと...

SharpBlock

SharpBlock エントリポイントの実行を防ぐことで、EDRのアクティブプロジェクションDLLをバイパスする方法。 特徴 EDR DLLのエントリポイント実行をブロックし、EDRフックが配置されるのを防ぎます。 ランタイムでAmsi.dllのコードパッチを検出するスキャナーから検出されない、パッチレスのAMSIバイパス。 ディスク、HTTP、または名前付きパイプ（Cobalt Strike）からロード可能なインプラントPEに置き換えられるホストプロセス。 インプラントプロセスは非表示になり、プロセス空洞化を検出するスキャナーを回避するのに役立ちます。...

Stracciatella

Stracciatella v0.7 Пространство выполнения PowerShell из C техника SharpPick с отключенными AMSI, ETW и Script Block Logging для вашего удовольствия. В наши дни, когда PowerShell сильно инструментирован с помощью таких техник, как: AMSI ETW Script Block Logging Файл транскрипта Логирование модуле...

PatchlessCLRLoader

PatchlessCLRLoader PatchlessCLRLoader는 InlineExecute-Assembly의 포크로, .NET 어셈블리를 로드하고 출력을 메일슬롯으로 전달합니다. 다음 구현을 갖춘 독립 실행형 로더로 재작성했습니다: AES 암호화 페이로드 파일리스 페이로드 지원 하드웨어 중단점을 사용한 패치리스 AMSI 및 ETW 우회 비고: 현재 이 로더는 메인 스레드에서만 HWBP 설정을 지원합니다. 패치리스 우회를 위해 하드웨어 중단점을 사용하는 것은 기존 패치 기법에 비해 여러 가지 장점이 있습니다. 첫째, 보안...

A Bag of RATs: VenomRAT vs. AsyncRAT

Introduction Remote access tools RATs have long been a favorite tool for cyber attackers, since they enable remote control over compromised systems and facilitate data theft, espionage, and continuous monitoring of victims. Among the well-known RATs are VenomRAT and AsyncRAT. These are open-sourc...

ExecuteAssembly - Load/Inject .NET Assemblies

ExecuteAssembly is an alternative of CS execute-assembly, built with C/C++ and it can be used to Load/Inject .NET assemblies by; reusing the host spawnto process loaded CLR Modules/AppDomainManager, Stomping Loader/.NET assembly PE DOS headers, Unlinking .NET related modules, bypassing ETW+AMSI,...

Execute .net Assembly (x64 only)

This module executes a .NET assembly in memory. It reflectively loads a dll that will host CLR, then it copies the assembly to be executed into memory. Credits for AMSI bypass to Rastamouse @RastaMouse This module requires Metasploit: https://metasploit.com/download Current source:...