ROPInjector

ROPInjector A tool written in C Win32 to convert any shellcode in ROP and patch it into a given portable executable PE. It supports only 32-bit target PEs and the x86 instruction set. Published in Blackhat USA 2015, "ROPInjector: Using Return Oriented Programming for Polymorphism and Antivirus...

frida-extract

FridaExtract FridaExtract is a Frida.re based RunPE extraction tool. RunPE type injection is a common technique used by malware to hide code within another process. It also happens to be the final stage in a lot of packers : NOTE: Frida now also supports extraction of injected PE files using the...

PhaseDump

PhaseDump Python tool for decrypting W32/Phase modules, first 16-bytes is the MD5 hash of decrypted code, rest is PE file RC4 encrypted with "Phase" as the key...

RunPE

RunPE C reflective loader for unmanaged binaries. Usage Usage: RunPE.exe e.g. RunPE.exe C:\Windows\System32\net.exe localgroup administrators Alternative usage: RunPE.exe ---f ---b ---a e.g: RunPE.exe ---f C:\Windows\System32\svchost.exe ---b ---a Build configuration options Edit the compilation...

peframe

peframe peframe est un outil open source permettant d'effectuer une analyse statique des Exécutables Portables malveillants et des fichiers suspects génériques. Il peut aider les chercheurs en malwares à détecter un packer, xor, signature numérique, mutex, anti-débogage, anti-machine virtuelle,...

InflativeLoading

InflativeLoading Article: https://winslow1984.com/books/malware/page/reflectiveloading-and-inflativeloading Major Update History In this section, major updates are provided. Major updates do include added supports or features. 4/11/2024 Added PE Signature Obfuscation Only a few bytes in the PE...

dotNetPELoader

dotNetPELoader Avis de sécurité Récemment, j'ai découvert une version modifiée non officielle de ce projet redistribuée en dehors de ce dépôt. Après avoir examiné les fichiers, j'ai identifié des composants cachés supplémentaires et un comportement de chargement de script qui N'EXISTENT PAS dans ...

Nimcrypt2

Nimcrypt2 Nimcrypt2 is yet another PE packer/loader designed to bypass AV/EDR. It is an improvement on my original Nimcrypt project, with the main improvements being the use of direct syscalls and the ability to load regular PE files as well as raw shellcode. Before going any further, I must...

ft9201-libfprint

ft9201-libfprint Prise en charge des empreintes digitales sous Linux pour le lecteur USB Focal-systems FT9201 2808:93a9, vendu comme un dongle Windows Hello autonome, en tant que pilote libfprint. Le capteur est un minuscule lecteur optique 96×96. Le comparateur intégré de libfprint fait un mauva...

mal_unpack

malunpack Динамический распаковщик на основе PE-sieve 📖 Подробнее . Он запускает упакованный вредоносный файл, ожидает, пока тот распакует полезную нагрузку, снимает её дамп и завершает исходный процесс. !CAUTION Этот распаковщик запускает исходный вредоносный код. Используйте его только на...

HeaderLessPE

HeaderLessPE Введение 中文 HeaderLessPE — это техника загрузки PE в память, используемая трояном Icedid. На основе этой технологии мы предлагаем новый способ бесфайловой атаки с использованием HVNC. Это усовершенствование позволяет внедрять HeaderLessPE для выполнения графических хакерских...

bad-dicom

Bad-DICOM PoC of my handcrafted CVE-2019-11687's exploit tool. I've crafted this PEDICOM as a Proof of Concept for my college's capstone: "Detection and prevention of attacks based on vulnerabilities of DICOM files against medical management services ". What is a PEDICOM DoomDicom.dcm is a PEDICO...

pe-sieve

Introduction PE-sieve est un outil qui aide à détecter les malwares en cours d'exécution sur le système, ainsi qu'à collecter le matériel potentiellement malveillant pour une analyse plus approfondie. Il reconnaît et vide une variété d'implants dans le processus scanné : PE remplacés/injectés,...

Sojobo

Sojobo - A binary analysis framework Sojobo is an emulator for the B2R2 framework. It was created to easier the analysis of potentially malicious files. It is totally developed in .NET so you don't need to install or compile any other external libraries the project is self contained. With Sojobo...

iocx

IOCX Детерминированное извлечение IOC с нулевым риском для современных конвейеров безопасности Статическое извлечение IOC из PE-файла с помощью IOCX CLI Официальный проект IOCX Это оригинальный движок IOCX для детерминированного статического извлечения IOC и анализа PE. Любые другие репозитории,...

pftriage

pftriage pftriage est un outil d'aide à l'analyse de fichiers lors du triage de logiciels malveillants. Il permet à un analyste de visualiser et d'extraire rapidement les propriétés d'un fichier pour faciliter le processus de triage. L'outil dispose également d'une fonction d'analyse capable de...

InfectPE

Using this tool you can inject x-code/shellcode into PE file. InjectPE works only with 32-bit executable files. Why you need InjectPE? You can test your security products. Use in a phishing campaign. Learn how PE injection works. ...and so on. In the project, there is hardcoded x-code of...

pe-bear

PE-bear PE-bear — это кроссплатформенный инструмент для реверс-инжиниринга PE-файлов. Его цель — предоставить быстрый и гибкий «первый взгляд» для аналитиков вредоносных программ, стабильный и способный обрабатывать повреждённые PE-файлы. Сигнатуры для PE-bear: SIG.txt обновлено: 17 октября 2022 ...

IAT-Hook

Хук - IAT Хукинг Хукинг — это техника, позволяющая перенаправить поток выполнения программы. Чаще всего мы используем хукинг функций. Мы либо заменяем, либо перенаправляем функцию на нашу собственную — это очень полезно и имеет множество применений. Существует несколько способов хукинга, здесь мы...

nimcrypt

nimcrypt Nimcrypt est un crypter PE .NET écrit en Nim, basé entièrement sur le travail du projet OffensiveNim de @byt3bl33d3r : https://github.com/byt3bl33d3r/OffensiveNim Cet outil a été inspiré par un article de blog de @S3cur3Th1sSh1t il y a quelques mois, car il s'agit essentiellement d'une...