Stracciatella

Stracciatella v0.7 C 内からの PowerShell ランスペース（別名 SharpPick 手法）で、AMSI、ETW、スクリプトブロックログ記録を無効化した状態でお届けします。 昨今、PowerShell は以下のような技法により厳重に計装されています： AMSI ETW スクリプトブロックログ記録 トランスクリプトファイル モジュールログ記録 制約付き言語モード CLM...

NyxInvoke

NyxInvoke NyxInvoke は、.NET アセンブリ、PowerShell コマンド/スクリプト、Beacon Object Files BOF、PE ファイルの実行用に設計された多用途の Rust ベースのツールで、Ntdll Unhooking、パッチレス AMSI、ETW バイパス機能を内蔵しています。スタンドアロンの実行ファイルまたは DLL のどちらとしてもコンパイルできます。 特徴 .NET アセンブリの実行 PowerShell コマンドまたはスクリプトの実行 Beacon Object Files BOF の読み込みと実行 PE ファイル EXE の読み込みと...

SharpBlock

SharpBlock エントリポイントの実行を防ぐことで、EDRのアクティブプロジェクションDLLをバイパスする方法。 特徴 EDR DLLのエントリポイント実行をブロックし、EDRフックが配置されるのを防ぎます。 ランタイムでAmsi.dllのコードパッチを検出するスキャナーから検出されない、パッチレスのAMSIバイパス。 ディスク、HTTP、または名前付きパイプ（Cobalt Strike）からロード可能なインプラントPEに置き換えられるホストプロセス。 インプラントプロセスは非表示になり、プロセス空洞化を検出するスキャナーを回避するのに役立ちます。...

ExecuteAssembly

説明: ExecuteAssemblyはCSのexecute-assemblyの代替であり、C/C++で構築されています。ホスト（spawnto）プロセスに読み込まれたCLRモジュール/AppDomainManagerの再利用、ローダー/.NETアセンブリのPE DOSヘッダーの隠蔽、.NET関連モジュールのリンク解除、ETW+AMSIのバイパス、NT静的システムコール（x64）によるEDRフックの回避、superfasthashハッシュアルゴリズムを使用したAPIの動的解決によるインポートの隠蔽により、.NETアセンブリを読み込み/インジェクションするために使用できます。...

Fuck-Etw

「⚙️」绕过 ETW 与取消挂钩 Ntdll 绕过事件跟踪 WindowsETW 并取消挂钩 ntdll。 |\ /| | \ /\ \ /|\ /| | /| || /| \ / /| / | | | | | | || | | / / | | | | | | | | | | | || | | | | | | | | | | | | | || | | \ \ | | | | || || | | | || /| / \ | /\ | | | | |/ /|/ // Made by sorahed v1.0 i Hooked Ntdll Base Address :...

PatchlessCLRLoader

PatchlessCLRLoader PatchlessCLRLoader 是 InlineExecute-Assembly 的一个分支，用于加载 .NET 程序集并将输出定向到 mailslot。我将其重写为独立加载器，实现如下： AES 加密载荷 支持无文件载荷 使用硬件断点实现无补丁 AMSI 和 ETW 绕过 备注：目前加载器仅支持在主线程中设置 HWBP。 与传统的修补技术相比，使用硬件断点进行无补丁绕过具有多个优势。首先，它避免了使用 NtProtectVirtualMemory 等广为人知的 API，这些 API...

A Bag of RATs: VenomRAT vs. AsyncRAT

Introduction Remote access tools RATs have long been a favorite tool for cyber attackers, since they enable remote control over compromised systems and facilitate data theft, espionage, and continuous monitoring of victims. Among the well-known RATs are VenomRAT and AsyncRAT. These are open-sourc...

ExecuteAssembly - Load/Inject .NET Assemblies

ExecuteAssembly is an alternative of CS execute-assembly, built with C/C++ and it can be used to Load/Inject .NET assemblies by; reusing the host spawnto process loaded CLR Modules/AppDomainManager, Stomping Loader/.NET assembly PE DOS headers, Unlinking .NET related modules, bypassing ETW+AMSI,...

Execute .net Assembly (x64 only)

This module executes a .NET assembly in memory. It reflectively loads a dll that will host CLR, then it copies the assembly to be executed into memory. Credits for AMSI bypass to Rastamouse @RastaMouse This module requires Metasploit: https://metasploit.com/download Current source:...