Hunt-Weird-Syscalls

Hunt-Weird-Syscalls 这是一个基于 ETW 的 POC，用于监控异常系统调用（syscall）。 目前，监控 NtOpenThread 和 NtSetContextThread 这两个系统调用，以识别表明直接 和间接 系统调用的 IOC。 描述 该项目使用 ETW，更准确地说是基于内核的 ETW 提供程序，来监控 IOC。 内核中的 ETW 提供程序可以被有效利用，因为所发出事件的调用跟踪（calltrace）包含执行系统调用时的用户态地址。 这样可以监控表明直接和间接系统调用的 IOC，这是一种常被威胁行为者利用的技术： 1:...

Hunt-Weird-ImageLoads

Hunt-Weird-ImageLoads 该项目用于尝试由 ImageLoad 事件引起的各种 IOC。 它利用 ETW 监控 ImageLoad 事件，并遍历调用栈以识别一些可能的 IOC，例如： 调用栈中的 RWX 页面 调用栈中被 stomp 的模块（stomped module） 模块代理（module proxying）（ntdll - kernel32!LoadLibrary），如 此处 或 此处 所述 专用于加载库的新线程 本仓库中有两个示例程序，分别用于 模块代理 和 专用线程 。 结论 在我的测试中，监控调用栈中的私有或模块 stomped...