Hunt-Sleeping-Beacons

Hunt-Sleeping-Beacons 本项目（主要）是一个调用栈扫描器，旨在识别指示未打包或注入的C2代理的IOC。 所有检查基于以下观察：C2代理在回调之间等待，导致信标线程空闲，而此工具旨在分析可能导致线程空闲的原因。 这包括传统的IOC，如未备份的内存或被篡改的模块，但也尝试检测使用APC或定时器实现的多种睡眠掩码。后者通过两种方式完成：分析调用栈，以及从用户态枚举定时器及其确切回调 。 （几乎）没有哪个IOC可以被认为是100%的真正例，例如模块篡改检测极易产生误报。尽管如此，结果可能会引起对进程行为的怀疑。 DotNet和32位二进制文件被忽略。 检查项 未备份内存...