donut

Aktuelle Version: v1.1 Inhaltsverzeichnis 1. Einführung 2. Funktionsweise 3. Erstellung 4. Verwendung 5. Unterprojekte 6. Entwicklung mit Donut 7. Fragen und Diskussionen 8. Haftungsausschluss 1. Einführung Donut ist ein positionsunabhängiger Code, der die In-Memory-Ausführung von VBScript-,...

STrace

STrace Steves Tracer. Eine DTrace-Neuimplementierung von Syscall-Hooks unter Windows. Stellen Sie sich das wie einen PatchGuard-kompatiblen SSDT-Hook vor, jedoch ohne Hacks. SSSDT win32k-APIs wird nicht unterstützt, da die DTrace-Systemaufruf-APIs selbst diese zusätzliche Tabelle nicht...

AMSI-ETW-Patch

AMSI-ETW-Patch este repositório contém informações para aplicar patch no AMSI e no ETW usando um patch de um único byte para ambos. A ideia era limitar a detecção do próprio patch, já que é um único byte. AMSI patch-amsi-x64.c A ideia é que o AMSI realiza muitas verificações de validação antes de...

CVE-2021-34486

CVE-2021-34486 Windows Etw LPE Nur getestet unter Windows 20H2 x64 ed2k://|file|cnwindows10businesseditionsversion20h2updatedmarch2021x64dvdca61aaaa.iso|6074574848|B6741C4E4B09337471B02DC95E953992|/ Danke an @yongchuank https://www.pixiepointsecurity.com/blog/advisory-cve-2021-34486.html...

TiEtwAgent

TiEtwAgent - Detecção de injeção de processo baseada em ETW Este projeto foi criado para pesquisar, construir e testar diferentes casos de uso de detecção de injeção de memória e técnicas de bypass. O agente utiliza o provedor de rastreamento de eventos Microsoft-Windows-Threat-Intelligence, como...

EtwSessionHijacking

EtwSessionHijacking: Una PoC per bloccare Procmon dal monitoraggio degli eventi di rete Dimostrazione: https://user-images.githubusercontent.com/111295429/186082150-32ed304b-ba45-42a4-8baa-37dd75246c68.mp4 Basato su : Problemi di progettazione dei moderni EDR: bypassare le soluzioni basate su ETW...

QLOG

Update Juli 2022 Wir haben QLOG als Experiment gestartet, um mehr über Windows ETW zu lernen. QLOG bietet erweitertes Logging für Prozesserstellungsereignisse unter Windows. Wir haben die Entwicklung von QLOG eingestellt, weil inzwischen kostenlose Tools veröffentlicht wurden, die ETW für...

SliverMirage

SliverMirage Un fork di CrystalSliver che estende il loader PICO di Crystal Palace con bypass AMSI a doppio strato, silenziamento ETW e sei varianti di consegna per Sliver C2. Che cosa fa SliverMirage avvolge una DLL dell'impianto Sliver tramite la virtualizzazione PICO di Crystal Palace, quindi ...

LDAPMon

LDAPMon LDAPMon — это POC-сборщик телеметрии для ETW-провайдера Microsoft-Windows-LDAP-Client. После запуска журналы сохраняются в средстве просмотра событий. В состав этого POC входит парсер Sentinel, чтобы при необходимости вы могли собирать эти данные в SIEM. Лучше всего использовать рядом с...

Beginners-Guide-to-Obfuscation

Umgehung der Erkennung: Ein Anfängerleitfaden zur Obfuskation Verteidiger passen ihre Sicherheitsmaßnahmen ständig an, um neuen Bedrohungen entgegenzuwirken. Unsere Aufgabe ist es herauszufinden, wie sie ihre Systeme zu sichern planen und zu vermeiden, als Bedrohung identifiziert zu werden. Dies...

hwbp4mw

Questo articolo era originariamente per VX-Underground Black Mass Halloween Edition 2022. Motori di hooking: Motore di hooking hwbp x86/x64 thread-safe c Libreria di breakpoint PAGEGUARD/hwbp c++20 Libreria hwbp esempio DLL c++20 Tecnica generica di evasione user-land x64 che utilizza i registri ...

SilkETW

SilkETW & SilkService SilkETW e SilkService sono wrapper flessibili in C per ETW, progettati per astrarre le complessità di ETW e fornire alle persone un'interfaccia semplice per effettuare ricerca e introspezione. Sebbene entrambi i progetti abbiano ovvie applicazioni difensive e offensive,...

EtwLeakKernel

EtwLeakKernel Dieses Repository enthält einen PoC für ein Programm, das ETW nutzt, um Kernel-Speicheradressen zu leaken. Dies geschieht, indem ein Consumer erstellt wird könnte für fast jeden Provider sein, da fast alle Kernel-Adressen leaken und von diesem ein Stack-Trace angefordert wird. Sobal...

EventHorizon

EventHorizon EventHorizon è uno strumento pensato per fornire agli analisti della sicurezza e/o ai ricercatori la telemetria di Event Tracing for Windows ETW che, combinata con regole simili a sigma, consente capacità robuste di rilevamento e risposta sugli endpoint. Detto ciò, EventHorizon non è...

Nemesis

Nemesis amanhã vou lançar uma atualização, mudando a licença e também algumas novidades contra roubadores de dados. ferramenta para windows que fiz porque me cansei de olhar para forks do jlaive em amostras de malware sem nada público para realmente desmontá-los em tempo de execução. resumindo, é...

etl-parser

etl-parser Event Trace Log file reader in pure Python etl-parser is a pure Python 3 parser library for ETL Windows log files. ETL is the default format for ETW as well as the default format for the Kernel logger. etl-parser has no system dependencies, and will work well on both Windows and Linux...

Metamorph

Metamorph Introduzione Questo strumento è un'utilità da riga di comando per Windows scritta in C che crea e configura sessioni AutoLogger persistenti di Event Tracing for Windows ETW. Gli AutoLogger avviano automaticamente la traccia di provider ETW specifici all'avvio del sistema, rendendoli uti...

Hunt-Weird-Syscalls

Hunt-Weird-Syscalls Dies ist ein ETW-basierter POC zur Überwachung abnormaler Syscalls. Derzeit werden die Syscalls NtOpenThread und NtSetContextThread überwacht, um IOCs zu identifizieren, die sowohl auf direkte als auch auf indirekte Syscalls hinweisen. Beschreibung Dieses Projekt nutzt ETW,...

hashmuncher

Hash Muncher Sammle NetNTLMv2-Hashes mithilfe von ETW mit Administratorrechten unter Windows Erfordert erhöhten Administrator-Zugriff unter Windows 8.1 / Windows 2016 oder später Verwendet die Ereignisablaufverfolgung für Windows ETW, um Zugriff auf die Rohpaketdaten von...

Hunt-Weird-ImageLoads

Hunt-Weird-ImageLoads Questo progetto è stato creato per giocare con diversi IOC causati dagli eventi ImageLoad. Utilizza ETW per monitorare gli eventi ImageLoad e analizza lo stack di chiamate per identificare alcuni possibili IOC, come: Pagina RWX nello stack di chiamate Modulo stomped nello...