frida-extract

FridaExtract FridaExtract — это инструмент извлечения RunPE на базе Frida.re. Инъекция типа RunPE — распространённый метод, используемый вредоносным ПО для сокрытия кода внутри другого процесса. Кроме того, это финальная стадия многих упаковщиков : ПРИМЕЧАНИЕ: Frida теперь также поддерживает...

PhaseDump

PhaseDump Python-инструмент для дешифрования модулей W32/Phase: первые 16 байт — это MD5-хэш расшифрованного кода, остальное — PE-файл, зашифрованный с помощью RC4 с ключом "Phase"...

RunPE

RunPE 비관리 바이너리를 위한 C 리플렉티브 로더입니다. 사용법 Usage: RunPE.exe e.g. RunPE.exe C:\Windows\System32\net.exe localgroup administrators Alternative usage: RunPE.exe ---f ---b ---a e.g: RunPE.exe ---f C:\Windows\System32\svchost.exe ---b ---a 빌드 구성 옵션 컴파일 기호를 편집하여 프로그램 흐름을 신속하게 조정하세요: Visual Studio에서 프로젝트를 마우...

LIEF

Блог • Документация • О проекте О проекте Цель этого проекта — предоставить кроссплатформенную библиотеку для разбора, изменения и абстрагирования форматов ELF, PE и MachO. Основные возможности : Разбор : LIEF может разбирать ELF, PE, MachO, COFF, OAT, DEX, VDEX, ART и предоставляет удобный API д...

peframe

peframe peframe — это инструмент с открытым исходным кодом для выполнения статического анализа вредоносных программ в формате Portable Executable и других подозрительных файлов. Он помогает исследователям вредоносных программ обнаруживать упаковщики, XOR, цифровые подписи, мьютексы, антиотладку,...

InflativeLoading

InflativeLoading 기사: https://winslow1984.com/books/malware/page/reflectiveloading-and-inflativeloading 주요 업데이트 내역 이 섹션에서는 주요 업데이트를 제공합니다. 주요 업데이트에는 추가된 지원 또는 기능이 포함됩니다. 2024년 4월 11일: PE 서명 난독화 추가 PE 헤더에서 elfanew, Import Directory의 RVA 같은 일부 바이트만 로딩 프로세스를 완료하는 데 필수적입니다. 따라서 다른 바이트는 무작위 바이트로 덮어씌워 P...

dotNetPELoader

dotNetPELoader Уведомление о безопасности Недавно я обнаружил неофициальную модифицированную версию этого проекта, распространяемую за пределами данного репозитория. После проверки файлов я выявил дополнительные скрытые компоненты и поведение по загрузке скриптов, которых НЕТ в официальном исходн...

WDExtract

WDExtract Извлечение базы данных Защитника Windows из vdm-файлов и распаковка Эта программа распространяется как есть, без каких-либо гарантий; Официальной поддержки нет; если вам нравится этот инструмент, не стесняйтесь участвовать. Возможности Распаковка VDM-контейнеров Защитника...

pe-signgen

pe-signgen Кросс-версионные бинарные сигнатуры и RVA-смещения для функций Windows PE Обзор pe-signgen — это инструмент для специалистов по реверс-инжинирингу и исследователей безопасности, который автоматически генерирует: Бинарные сигнатуры байтовые шаблоны с подстановочными знаками для...

zig-pe

zig-pe Загрузчик PE рефлексивного типа, написанный на Zig. Загружает и выполняет нативные и .NET PE-файлы непосредственно из памяти. Возможности Конвейер загрузки PE Разбор DOS и NT заголовков PE32 и PE32+ во время выполнения Отображение секций в выделенную память Разрешение импортов по имени и...

hacksguard

Hacksguard 0.2 - Молниеносный TUI-инструмент для анализа вредоносного ПО 🛡️ Hacksguard — это молниеносный, многопоточный инструмент статического анализа с терминальным интерфейсом TUI, предназначенный для аналитиков SOC, охотников за угрозами и реверс-инженеров. Полностью написан на Rust, он...

PETriage

PETriage Быстрый кроссплатформенный инструмент поверхностного анализа PE Portable Executable для триажа вредоносного ПО, написанный на Rust. Предназначен для аналитиков, которым нужен практичный триаж PE на Linux, macOS и Windows без привязки к Windows-ориентированному рабочему процессу. Ранее...

Hollow

Hollow hollow 는 셸코드 로더 생성기입니다. 원시 셸코드 바이너리와 프로필을 입력하면 셸코드가 암호화되어 포함된 컴파일된 Windows PE 로더가 생성됩니다. 시작하기 바이너리는 릴리즈 페이지에서 다운로드하거나 소스에서 빌드할 수 있습니다: go build -o hollow . 크로스 컴파일을 위해 x8664-w64-mingw32-gcc가 필요합니다. Arch Linux: pacman -S mingw-w64-gcc Debian/Ubuntu: apt install gcc-mingw-w64-x86-64 사용법...

Nimcrypt2

Nimcrypt2 Nimcrypt2 — это очередной PE-упаковщик/загрузчик, предназначенный для обхода AV/EDR. Это улучшение моего оригинального проекта Nimcrypt, основные улучшения включают использование прямых системных вызовов и возможность загружать обычные PE-файлы, а также сырой шелл-код. Прежде чем...

rustdllproxy

rustdllproxy Крейт-утилита на Rust для простой генерации и разработки прокси-DLL для приложений Windows. Установка cargo install rustdllproxy Совместимость В настоящее время этот крейт поддерживает только стандартный PE-формат DLL. Текущие ограничения При перехвате функций с помощью...

ft9201-libfprint

ft9201-libfprint Поддержка отпечатков пальцев в Linux для USB-ридера Focal-systems FT9201 2808:93a9, продаётся как автономный Windows Hello-донгл в качестве драйвера для libfprint. Сенсор — крошечный оптический ридер 96×96. Встроенный в libfprint механизм сравнения плохо справляется с таким...

HintInject

HintInject HintInject — это инструмент для внедрения и загрузки шелл-кода, который я разработал, экспериментируя со структурами PE-файла и таблицы импорта Import Directory Table. Он принимает сырой шелл-код и разбивает его на фрагменты, помещая их в записи Hint/Name Table, доступные через Import...

mal_unpack

malunpack PE-sieve를 기반으로 하는 동적 언패커 📖 더 읽기 . 패킹된 악성코드를 실행하고, 페이로드가 언패킹될 때까지 기다린 다음, 페이로드를 덤프하고 원본 프로세스를 종료합니다. !CAUTION 이 언패커는 원본 악성코드를 실행합니다. 가상 머신에서만 사용하세요. ⚙ 사용법 기본 사용법: malunpack.exe /exe /timeout 기본적으로 삽입된 PE를 덤프합니다. 셸코드를 덤프하려면 /shellc 옵션을 사용하세요. 수정/후킹/패치된 PE를 덤프하려면 /hooks 옵션을 사용하세요. 언패커가 처음...

goblin

libgoblin Documentation https://docs.rs/goblin/ changelog Usage Goblin requires rustc 1.85.0 Rust 2024 edition. Add to your Cargo.toml dependencies goblin = "0.10" Features awesome crate name zero-copy, cross-platform, endian-aware, ELF64/32 implementation - wow! zero-copy, cross-platform,...

TinyLoad

TinyLoad v7.4 — упаковщик и шифратор PE для Windows TinyLoad — это шифратор/упаковщик PE для x64 исполняемых файлов. Он упаковывает входной exe с различными уровнями защиты, чтобы предотвратить его реверс-инжиниринг. Это один единственный .cpp файл без внешних зависимостей. как это работает...