Shhhloader

Shhhloader Shhhloader 是一个仍在开发中的 Shellcode 加载器。它接收原始 Shellcode 作为输入，并编译一个 C++ 存根，该存根会执行一系列不同的操作以尝试绕过 AV/EDR。附带的 Python 构建器可以在任何安装了 Mingw-w64 的 Linux 系统上运行。 2024年1月25日编辑：Shhhloader 现已支持PoolParty 变体 7！还添加了一个选项，可将 PoolParty 与模块占用（Module Stomping）相结合，以防止执行的 Shellcode 驻留在未备份内存中。以下视频演示了这种针对 Defender ATP...

Advanced-Loader-Reverse-Engineering

从Shellhost到3个DLL：分析一个包含载荷注入、CFG绕过和降级攻击的高级加载器 概述 本分析涵盖了一个复杂的多阶段加载器，其目标为 Shellhost.exe、amsi.dll、mstscax.dll 和 clbcatq.dll。该加载器使用了模块践踏、CFG绕过、COM劫持和降级攻击。 Shellhost – 载荷注入的主要目标 该加载器将 Shellhost.exe 作为载荷注入的主要进程。它通过模块践踏 覆盖 Shellhost 的合法代码，植入自身恶意载荷。 关键观察 混淆载荷： 注入代码中包含 ASCII 残留（push 70207369h = "is...

Shellcode-Test-Harness

Shellcode 测试工具 一个轻量级的测试工具，旨在通过提供集成崩溃诊断和调试输出重定向的执行环境，加速 shellcode 的开发。 特性 通过模块踩踏执行 shellcode 使用 VEH 捕获崩溃：如果 shellcode 出错，它会在故障点打印寄存器转储、堆栈转储和代码转储。 实时调试输出：拦截 shellcode 输出并在控制台中显示。 内置十六进制转储工具：通过在调试输出前添加 "HEXDUMP:0xADDR:SIZE"，加载器将自动转储该内存范围。 DLL 发现：查找兼容的 DLL，可选择过滤掉那些没有足够大的 .text 节来容纳特定 payload 的 DLL。...

patriot

Patriot Pequeño proyecto de investigación para detectar diversas técnicas de sigilo en memoria. Descargue la última versión aquí. La versión actual admite las siguientes detecciones: Estructuras CONTEXT sospechosas que apuntan a funciones VirtualProtect. Apuntando a la investigación de Austin...

Hunt-Sleeping-Beacons

Hunt-Sleeping-Beacons 本项目（主要）是一个调用栈扫描器，旨在识别指示未打包或注入的C2代理的IOC。 所有检查基于以下观察：C2代理在回调之间等待，导致信标线程空闲，而此工具旨在分析可能导致线程空闲的原因。 这包括传统的IOC，如未备份的内存或被篡改的模块，但也尝试检测使用APC或定时器实现的多种睡眠掩码。后者通过两种方式完成：分析调用栈，以及从用户态枚举定时器及其确切回调 。 （几乎）没有哪个IOC可以被认为是100%的真正例，例如模块篡改检测极易产生误报。尽管如此，结果可能会引起对进程行为的怀疑。 DotNet和32位二进制文件被忽略。 检查项 未备份内存...

Astral_Projection

Astral Projection - UDRL Astral Projection 是一个 Cobalt Strike UDRL（用户定义反射加载器），它执行高级模块隐藏。 该 UDRL 使用 LoadLibraryExW 加载一个模块，然后通过设置 VEH 来拦截关键调用，从而操纵其内部结构，以便窃取牺牲 DLL 的节句柄并提升其访问权限，供后续在睡眠掩码中使用。在睡眠期间，它会取消映射模块，同时保持 PEB 条目不变，然后重新映射一个全新的模块，以避免睡眠期间出现任何 IOC。 该项目使用 Crystal Palace 构建。部分代码取自 Crystal-Kit 项目。...

AsmLdr

AsmLdr: Un cargador de shellcode dinámico para Windows x64 Descripción general AsmLdr es un cargador de shellcode avanzado implementado en lenguaje ensamblador x64, diseñado para entornos Windows x64. Su propósito principal es ejecutar payloads cifrados mientras minimiza la detección por parte de...

NovaLdr

NovaLdr ⚜️ NovaLdr 是一个用 Rust 编写的无线程模块踩踏（Threadless Module Stomping）工具，旨在作为探索恶意软件开发世界的学习项目。它使用间接系统调用和字符串加密等高级技术来实现其功能。该项目并非旨在成为完整或完善的产品，而是深入恶意软件技术层面的旅程，展示各种技术和特性。 功能概览 💡 间接系统调用 字符串加密 Shellcode 加密 : 简单 XOR 并将 Shellcode 字节转换为 MAC 地址 无线程执行 无线程注入: 将蹦床写入给定 DLL 内的指定函数，并重定向以加载另一个 DLL。 JMPThreadHijack: 在不调...

PELoader

PELoader PELoader 实现了多种 shellcode 注入技术，并使用 libpeconv 库来加载加密的 PE 文件，而不是将 shellcode 注入到远程线程中。 实现了以下技术： Module Stomping LoadLibrary Module Stomping NtMapViewOfSection PoC Transacted Hollowing PoC Ghostly Hollowing PoC Herpaderply HollowingPoC NtMapViewOfSection RWX-RW-RX NtAllocateVirtualMemory RW-R...

Killer

KILLER TOOL EDR规避 这是一个用于学习绕过安全工具的AV/EDR规避工具，目前该工具是FUD（免杀）的。 功能特性： 模块踩踏（Module Stomping）用于内存扫描规避 通过新鲜ntdll副本进行DLL解除挂钩 IAT隐藏与混淆及API解除挂钩 ETW修补用于绕过某些安全控制 包含沙箱规避技术和基本反调试 通过XOR完全混淆（函数-密钥-Shellcode） Shellcode反转并加密 将载荷移至空闲内存，无需使用API GetProcAddress和GetModuleHandle的实现（由@cocomelonc提供） 运行时不会创建新线程，支持x64和x86架构...

ModuleStomping

Parte 1 de la investigación de Countercept sobre module stomping - ver https://blog.f-secure.com/hiding-malicious-code-with-module-stomping . El texto completo de la publicación del blog asociada está disponible en el directorio Documentation...

FunctionStomping

FunctionStomping 描述 这是一种全新的 shellcode 注入技术，用于绕过 AV 和 EDR。该技术受 Module Stomping 启发，并具有一些相似之处。 截至本文撰写时（2022-01-23），hollows-hunter 也无法检测到它。 这项技术的最大优势在于，它不会覆盖整个模块或 PE，只覆盖一个函数，并且目标进程仍然可以使用目标模块中的任何其他函数。 缺点在于，它并非对所有函数都有效（但对大多数函数有效），详细说明见我的博客：The Good, The Bad And The Stomped Function。 注意：如果 AV 标记此行为，但签名是...

Hunt-Sleeping-Beacons - Aims To Identify Sleeping Beacons

The idea of this project is to identify beacons which are unpacked at runtime or running in the context of another process. To do so, I make use of the observation that beacons tend to call Sleep between their callbacks. A call to sleep sets the state of the thread to DelayExecution which is take...