RPCMon

Windows 用イベントトレーシング ETW を介した RPC 通信をスキャンする GUI ツール。 このツールは、ホストと Windows コンテナ間の RPC 通信に関する研究の一環として公開されました。 概要 RPCMon は、研究者がプロセス間の RPC 通信の概要を把握するのに役立ちます。使いやすさを考慮して Procmon のように構築され、RPC に James Forshaw の .NET ライブラリを使用しています。RPCMon は、呼び出されている RPC 関数、呼び出したプロセス、およびその他の関連情報を表示できます。 RPCMon は、RPC...

Sealighter

Sealighter - セキュリティリサーチのための簡単ETWトレーシング このプロジェクトは、開発者以外の方でも、Event Tracing for Windows ETW と Windows PreProcessor Tracing WPP の研究に取り組みやすくするために作成しました。 機能 複数のETWおよびWPPプロバイダーに同時にサブスクライブ イベントを自動的にJSONにパース（フォーマットを知る必要なし） フィルターチェーンやフィルター否定を含む堅牢なイベントフィルタリング 標準出力、ファイル、またはWindowsイベントログ（他のツールで取り込むため）に出力...

BeaconHunter

BeaconHunter Cで構築されたETWトレーシングを利用した、動作ベースの監視およびハンティングツール。ブルーチームはこのツールを使用して、潜在的なCobalt Strikeビーコンを検出・対応できます。レッドチームはこのツールを使用して、ETWバイパスを研究し、ビーコンのように振る舞う新しいプロセスを発見できます。 著者 : Andrew Oliveau @AndrewOliveau TL;DR 良性プロセスに注入されたビーコンインプラントは、Wait:DelayExecution 状態のスレッド内に存在します（おそらくCobalt...