Hunt-Sleeping-Beacons

Hunt-Sleeping-Beacons Este proyecto es principalmente un escáner de callstack que intenta identificar IOCs que indican un agente C2 desempaquetado o inyectado. Todas las comprobaciones se basan en la observación de que los agentes C2 esperan entre sus callbacks, lo que provoca que el hilo del...

Advanced-Loader-Reverse-Engineering

De Shellhost a 3 DLLs: Analizando un Cargador Avanzado con Inyección de Payload, Bypass de CFG y Ataques de Degradación Resumen Este análisis cubre un sofisticado cargador multiphase que apunta a Shellhost.exe, amsi.dll, mstscax.dll y clbcatq.dll. El cargador utiliza module stomping, bypass de CF...

Shhhloader

Shhhloader Shhhloader es un cargador de shellcode en desarrollo. Toma shellcode sin procesar como entrada y compila un stub en C++ que realiza varias cosas para intentar evadir AV/EDR. El constructor Python incluido funcionará en cualquier sistema Linux que tenga Mingw-w64 instalado. Edición...

Astral_Projection

Astral Projection - UDRL Astral Projection is a Cobalt Strike UDRL User-Defined Reflective Loader, that performs advanced module stomping. The UDRL loads a module using LoadLibraryExW, then manipulates its internals by setting VEH to intercept strategic calls that allow it to steal the section...

AsmLdr

AsmLdr: A Dynamic Shellcode Loader for Windows x64 Overview AsmLdr is an advanced shellcode loader implemented in x64 assembly language, designed for Windows x64 environments. Its primary purpose is to execute encrypted payloads while minimizing detection by advanced antivirus software, endpoint...

Shellcode-Test-Harness

Herramienta de Prueba de Shellcode Un entorno de prueba ligero diseñado para acelerar el desarrollo de shellcode, proporcionando un entorno de ejecución con diagnóstico de fallos integrado y redirección de salida de depuración. Características Ejecuta shellcode mediante module stomping Usa VEH pa...

Killer

HERRAMIENTA KILLER Evasión de EDR Es una herramienta de evasión de AV/EDR creada para eludir herramientas de seguridad para aprendizaje, hasta ahora la herramienta es FUD. Características: Module Stomping para evasión de escaneo de memoria Desenganche de DLL mediante copia fresca de ntdll...

PELoader

PELoader PELoader implementa varias técnicas de inyección de shellcode y utiliza la librería libpeconv para cargar archivos PE cifrados en lugar de inyectar shellcode en un hilo remoto. Se implementaron las siguientes técnicas: Module Stomping LoadLibrary Module Stomping NtMapViewOfSection PoC...

NovaLdr

NovaLdr ⚜️ NovaLdr es un Module Stomping sin hilos escrito en Rust, diseñado como un proyecto de aprendizaje mientras se explora el mundo del desarrollo de malware. Utiliza técnicas avanzadas como syscalls indirectas y cifrado de cadenas para lograr sus funcionalidades. Este proyecto no pretende...

patriot

Patriot 用于检测各种内存隐身技术的小型研究项目。 下载最新版本 此处。 当前版本支持以下检测： 指向 VirtualProtect 函数的可疑 CONTEXT 结构。（针对 Austin Hudson Foliage 和 Cracked5pider 的 Ekko 的研究）。 验证内存中的 MZ/PE 头，以检测进程空洞化变种。 在高完整性级别运行的无后盾可执行区域。 用于模块践踏/覆盖的已修改代码。 其他各种异常。...

ModuleStomping

Part 1 of Countercept's research on module stomping - see https://blog.f-secure.com/hiding-malicious-code-with-module-stomping . The full text of the associated blogpost is available in the Documentation directory...

FunctionStomping

FunctionStomping Descripción Esta es una técnica completamente nueva para inyección de shellcode con el fin de evadir AVs y EDRs. Esta técnica está inspirada en Module Stomping y tiene algunas similitudes. Hasta la fecha 23-01-2022,hollows-hunter tampoco lo detecta. La mayor ventaja de esta técni...

Hunt-Sleeping-Beacons - Aims To Identify Sleeping Beacons

The idea of this project is to identify beacons which are unpacked at runtime or running in the context of another process. To do so, I make use of the observation that beacons tend to call Sleep between their callbacks. A call to sleep sets the state of the thread to DelayExecution which is take...