lacuna-rs

lacuna-rs Ghost-frame コールスタック偽装 + ランタイム間接システムコール for Windows x64 — Rust に移植済み。 Mohamed Alzhrani 0xmaz による LACUNA Chain lacunachain.c からの移植。 lacuna-rs は、再利用可能な Rust クレートであり、元の C TTP と同じプリミティブを提供します。構造化されているため、任意の Rust プロジェクトにドロップインできます。wsyscall-rs や syscalls-rs と似ていますが、ランタイム SSN 解決 、関数ごとのsyscall;r...

spawn

SPAWN - Cobalt Strike BOF Cobalt Strike BOF that spawns a sacrificial process, injects it with shellcode, and executes payload. Built to evade EDR/UserLand hooks by spawning sacrificial process with Arbitrary Code Guard ACG, BlockDll, and PPID spoofing. Due to ACG, this does not support shellcode...

Unwinder

目次 SilentMoonWalk 説明 クレジット 使い方 callfunction! マクロ indirectsyscall! マクロ パラメータの受け渡し 例 kernel32.dll!Sleep を呼び出す kernel32.dll!OpenProcess を呼び出す NtDelayExecution を間接システムコールとして呼び出す マクロ呼び出しの連結 注意事項 最初のフレーム PoC スタック置換 技術の説明 使用方法 例 注意事項 SilentMoonWalk 説明 Unwinder は SilentMoonWalk 技術の完全な兵器化を提供し、Rust...

HWSyscalls

HWSyscalls 主な貢献者 説明 HWSyscalls は、以下の3つの主要コンポーネントを使用して間接システムコールを実行する新しい手法です。 実行フローを制御するためのハードウェアブレークポイントとベクタード例外ハンドラ。 システムコール番号とアドレスを見つけるために使用される HalosGate。 ハードウェアブレークポイントを使用して kernel32 上に合成トランポリンを作成。 HWSyscalls は、現在の間接システムコール検出に基づく EDR や AV...

hookchain

Hookchain 要約 - EN 脅威が急速かつ複雑に進化する現在のデジタルセキュリティ環境において、Endpoint Detection and Response（EDR）ソリューションを開発する企業は、新たな攻撃ベクトルに追従するだけでなく、それを先取りするイノベーションを常に模索しています。 このような状況下で、本稿は、広く知られた技術を別の視点から捉えたHookChainを紹介します。これらの技術は、組み合わせることで、従来のEDRシステムに対する高度な回避の追加レイヤーを提供します。...

NovaLdr

NovaLdr ⚜️ NovaLdr ist ein Threadless Module Stomping, geschrieben in Rust, konzipiert als Lernprojekt zur Erkundung der Welt der Malware-Entwicklung. Es verwendet fortgeschrittene Techniken wie indirekte Syscalls und String-Verschlüsselung, um seine Funktionalitäten zu erreichen. Dieses Projekt...

awesome-edr-bypass

Awesome EDR Bypass 🛡️ Risorse Awesome per il Bypass di EDR per Ethical Hacking ⚔️ La tecnologia di bypass degli EDR non è solo per gli attaccanti. Molti malware ora hanno capacità di bypass degli EDR, una conoscenza di cui anche pentester e responder agli incidenti dovrebbero essere consapevoli...

NullGate

NullGate Este projeto implementa uma maneira confortável e moderna de usar as funções NTAPI usando syscalls indiretos, aliado ao método FreshyCalls com um pequeno toque para recuperação dinâmica de números de syscall. Também usa uma técnica que eu não vi ser mencionada para contornar a varredura ...

acheron

About Acheron is a library inspired by SysWhisper3/FreshyCalls/RecycledGate, with most of the functionality implemented in Go assembly. acheron package can be used to add indirect syscall capabilities to your Golang tradecraft, to bypass AV/EDRs that makes use of usermode hooks and instrumentatio...

rust_syscalls

RUSTSYSCALLS Einzelner Stub für direkte und indirekte Syscalls mit Laufzeit-SSN-Auflösung für Windows. Funktionen: Eine einzige Zeile für all deine Syscalls Hash der Funktionsnamen zur Kompilierzeit Direkte oder indirekte Syscalls Unterstützung für x8664, WOW64 und natives x86 Entwickelt, um die...

DEFCON-31-Syscalls-Workshop

Indirect Syscalls: un viaggio dall'alto verso il basso RedOps | Red Team Village | DEF CON 31 Per Iniziare Tutta la teoria e i playbook per gli esercizi si trovano nella wiki, che insieme ai POC preparati è il cuore di questo progetto. I POC per gli esercizi si trovano qui nella pagina principale...

nimvoke

nimvoke Syscall indiretti + DInvoke resi semplici. Progettato per essere importato direttamente nei tuoi progetti Nim, nimvoke usa macro per astrarre i dettagli delle chiamate di sistema indirette e delle dichiarazioni di delegati in stile DInvoke. Questa libreria è pensata per essere facile da...

DInvoke_rs

DInvokers Rust-Port von Dinvoke. DInvokers kann für viele Zwecke verwendet werden, beispielsweise für das Parsen von PE-Dateien, die dynamische Auflösung exportierter Funktionen, das dynamische Laden von PE-Plugins zur Laufzeit, die Umgehung von API-Hooks und mehr. Features: Undokumentierte...

AtlasLdr

Atlas é um carregador reflexivo x64 que possui os seguintes recursos: Recursos Recuperação de DLL e PE de um servidor remoto Manual Mapping em um processo remoto Apagamento do cabeçalho DOS e dos bytes mágicos do NTHeader Código independente de posição Uso de Syscalls indiretas ZwOpenProcess...

CallstackSpoofingPOC

POC de spoofing de call stack + syscalls indiretos Este projeto consiste em um dropper simples de autoinjeção em C++ focado em POC de evasão de EDR. Para implementá-lo, combinei o uso de Windows Thread Pooling para ocultar a call stack e o uso de indirect syscalls para evitar o hooking no NTDLL...

DllNotificationInjection - A POC Of A New "Threadless" Process Injection Technique That Works By Utilizing The Concept Of DLL Notification Callbacks In Local And Remote Processes

DllNotificationInection is a POC of a new “threadless” process injection technique that works by utilizing the concept of DLL Notification Callbacks in local and remote processes. An accompanying blog post with more details is available here: https://shorsec.io/blog/dll-notification-injection/ Ho...

AtomLdr - A DLL Loader With Advanced Evasive Features

A DLL Loader With Advanced Evasive Features Features: CRT library independent. The final DLL file, can run the payload by loading the DLL executing its entry point, or by executing the exported "Atom" function via the command line. DLL unhooking from \KnwonDlls\ directory, with no RWX sections. T...