26 matches found
AceLdr
AceLdr - メモリスキャナーを回避 Cobalt Strike用の位置独立リフレクティブローダー。Hunt-Sleeping-Beacons, BeaconHunter, BeaconEye, Patriot, Moneta, PE-sieve, MalMemDetect による検出結果はゼロ。 特徴 簡単に使用可能 シェルコードを生成する前に、単一のCNAスクリプトをインポートするだけです。 動的メモリ暗号化 Beaconからのすべての割り当てに対して新しいヒープを作成し、スリープ前にエントリを暗号化します。 コードの難読化と暗号化...
patriot
Patriot Small research project for detecting various kinds of in-memory stealth techniques. Download the latest release here. The current version supports the following detections: Suspicious CONTEXT structures pointing to VirtualProtect functions. Targets research by Austin Hudson Foliage and Ek...
ComfyEngine
ComfyEngine 基于 Qt 的内存扫描器 / 监视列表游乐场，灵感来自 Cheat Engine，但原生为 Linux 构建，并为我的工作流而调优：干净的停靠面板、指针图、快速补丁，以及在扫描器、脚本和笔记之间来回切换时毫无丢失上下文的顾虑。 ComfyEngine 为你提供一个干净、现代、以 Linux 为先的 CE 替代方案，免去 ceserver 的烦恼。所有停靠面板都可移动，所有颜色都遵循你的 Qt 主题，所有工具都集中在一个工作区中。 你会得到什么 扫描器 精确 / 未知 / 已更改 / 范围 / 等 可选对齐 快速扫描引擎 跳过被屏蔽/不可读的内存页 首次扫描 →...
XenoScan
XenoScan XenoScan は、プロセスのメモリをスキャンして重要な値の特定の場所を見つけるために使用できるメモリスキャナです。この種のツールは、通常ビデオゲームのハッキングに使用され、ゲームの状態を表す値をメモリ内で特定することを可能にします。 XenoScan は C++ で記述されており、Lua フロントエンドを持っています。そして、私がこれまで見てきた他のメモリスキャナにはない高度な機能に取り組んできました。特に、ターゲットのメモリ空間内のすべての複雑なデータ構造（std::list や std::map...
Squalr
Squalr Squalr Official Website Discordチャンネルに参加してください Squalr は、Rustで書かれた高性能な動的解析リバースエンジニアリングツールです。 何よりもまず、Squalrは圧倒的に高速なメモリスキャナーであり、ユーザーが実行中のプロセスのメモリを検索・変更することを可能にします。高速スキャンはマルチスレッドとSIMDの組み合わせにより実現され、数秒で数GBのデータを処理できます。すべてのCPUでサポートされていますが、最大のパフォーマンスを得るにはCPUがSSE、AVX、またはAVX-512をサポートしている必要があります。...
ReClass.NET
ReClass.NET 这是将 ReClass 移植到 .NET 平台的版本，并包含了大量额外功能。 功能特点 支持 x86 / x64 从 ReClass 2007-2016 和 ReClass QT 导入文件 内存节点 数组和指向其他所有节点类型的指针 Hex 8 / 16 / 32 / 64 Int 8 / 16 / 32 / 64 UInt 8 / 16 / 32 / 64 Bool Bits 枚举 Float / Double Vector 2 / 3 / 4 Matrix 3x3 / 3x4 / 4x4 UTF8 / UTF16 / UTF32 文本及指向文本的指针 虚函数表...
DeathSleep
██████╗ ███████╗ █████╗ ████████╗██╗ ██╗███████╗██╗ ███████╗███████╗██████╗ ██╔══██╗██╔════╝██╔══██╗╚══██╔══╝██║ ██║██╔════╝██║ ██╔════╝██╔════╝██╔══██╗ ██║ ██║█████╗ ███████║ ██║ ███████║███████╗██║ █████╗ █████╗ ██████╔╝ ██║ ██║██╔══╝ ██╔══██║ ██║ ██╔══██║╚════██║██║ ██╔══╝ ██╔══╝ ██╔═══╝...
DeepSleep
DeepSleep Gargoyle の x64 向けバリアント。ROP と PIC のみを使用してメモリアーティファクトを隠蔽します。 @waldoirc 氏がこのテクニックの大部分を自身の ブログ で文書化してくれたことに多大なる感謝を。 本実装は APC を一切使用せず、完全に PIC として実装されている点が異なります。 説明 x64 において Gargoyle のようなテクニックを使ってメモリアーティファクトを回避する方法をより深く理解するために作成しました。 基本的なアイデアは、VirtualProtect - Sleep - VirtualProtect を呼び出す...
YAMA-dev
YAMA Yet Another Memory Analyzer for malware detection コンセプト YAMAは、インシデント対応時に特定のマルウェアを検査できるスキャナを生成するシステムです。YAMAが生成するスキャナは、Windows OSのメモリを探索し、マルウェアを検出するように設計されています。メモリ内にのみ展開するファイルレスマルウェアの増加に伴い、YAMAはそのようなマルウェアを検出することでインシデント対応の迅速化を図ります。 特徴 単一バイナリとして動作するスキャナを生成 YARAルールとメモリ情報を使用してマルウェアを検出...
NORM-EDR
NORM-EDR NORM（正常 EDR） 是一个实验性的 内核级 EDR 研究项目 ，重点关注 可解释的检测 ，而非静默阻断。 NORM 不分配分数或终止进程，而是回答一个问题： 为什么这个二进制文件看起来可疑？ 该项目以 公开分步构建 的方式推进，作为学习与研究现代 EDR 如何对行为进行推理的旅程。 v0.3 – 内核内存扫描器更新 此版本引入了一种内存扫描例程，能够检测许多常见恶意软件样本中常用的一种内存执行模式。 此驱动程序现可枚举进程内存区域，并识别具有以下特征的疑似内存： MEMPRIVATE AllocationProtect = PAGEREADWRITE Protec...
Cronos
Cronos 本项目由以下人员共同撰写 描述 一种新型睡眠混淆技术的 PoC（基于 Ekko），利用可等待计时器对当前进程进行 RC4 加密，并将权限从 RW 更改为 RX，以规避内存扫描器。 更详细的解释将在博客文章中提供。 用法 要使用它，您只需将 Cronos 包含到您的项目中，并按如下方式使用： include "Cronos.h" int main int timesToExecute = 1337; int seconds = 10; for int i = 0; i \AppData\Local\bin\NASM\ 打开 Visual Studio 并配置设置 Tools...
TickTock
TickTock 本仓库演示了一个用于枚举计时器队列（timer-queue）计时器的 PoC 内存扫描器，该技术被用于 Ekko 睡眠混淆（Sleep Obfuscation）：https://github.com/Cracked5pider/Ekko。如需完整的技术讲解，请参阅随附的博客文章：https://labs.withsecure.com/publications/hunting-for-timer-queue-timers.html。 以下截图展示了在 Ekko 运行期间扫描计时器队列计时器的结果： 注意：需要提醒的是，本 PoC 已在 Windows 10 1607 和...
BlockOpenHandle
BlockOpenHandle 阻止任何进程打开指向你进程的句柄（HANDLE），只有SYTEM被允许打开指向你进程的句柄，这样你就可以避开远程内存扫描器 POC...
Voidgate
VOIDGATE 描述： 一种可用于绕过 AV/EDR 内存扫描器的技术。通过执行对单个加密汇编指令的即时解密，可以用来隐藏众所周知且已被检测的 shellcode（如 msfvenom），从而使内存扫描器对该特定内存页失效。 工作原理： 该技术将创建一个PAGEEXECUTEREADWRITE内存区域，用于存储加密的汇编指令。shellcode 周围会包裹一些填充字节。程序将在 shellcode 的入口点设置一个硬件断点（HWBP）。 接下来，程序将安装一个向量化异常处理程序（VEH）。该 VEH 基本上就像一个调试器，对代码进行单步执行，针对 VEH 接收到的每个SINGLE...
memscan
memscan 在进程的内存空间中搜索字符串、正则表达式、磁条卡磁道中的信用卡号码 内存/进程扫描器 由 Matt Lewis 编写，NCC Group 2014 由 Tom Watson 更新，NCC Group 2015 感谢 Jesse Bullock 提供了许多好主意 由 NCC Group Plc 以开源形式发布 - http://www.nccgroup.com/ 由 Matt Lewis 和 Tom Watson 开发，matt dot lewis at nccgroup dot com & tom dot watson at nccgroup dot com...
MappedImagesDetector
MappedImagesDetector 用于检测恶意DLL注入和内存中恶意软件的原生Windows内存扫描器 MappedImagesDetector 是一款 底层 C++20 Windows 工具 ，旨在检测现代恶意软件使用的 恶意 DLL 注入技术 ，包括 手动映射的 DLL、被擦除的 PE 头以及可疑的内存映射镜像 ，这些往往被传统防病毒解决方案忽略。 该项目专注于 基于内存的检测 ，而非磁盘签名。它专为 防病毒引擎、EDR 系统和恶意软件研究 而构建，在这些场景中对进程地址空间的可见性至关重要。 此工具解决了什么问题？ 现代恶意软件越来越倾向于 完全在内存中运行 ： 无需使用...
kernel: ksm: use range-walk function to jump over holes in scan_get_next_rmap_item
A resource exhaustion vulnerability was found in the Kernel Same-page Merging KSM subsystem of the Linux kernel. When scanning processes with large sparse virtual memory mappings e.g., 32 TiB with one mapped page, ksmd inefficiently walks every address rather than skipping unmapped holes. This...
CVE-2023-34970: Use After Free
A local non-privileged user can make improper GPU processing operations to access a limited amount outside of buffer bounds or to exploit a software race condition. If the system’s memory is carefully prepared by the user, then this in turn could give them access to already freed memory...