frida-extract

FridaExtract FridaExtract is a Frida.re based RunPE extraction tool. RunPE type injection is a common technique used by malware to hide code within another process. It also happens to be the final stage in a lot of packers : NOTE: Frida now also supports extraction of injected PE files using the...

PhaseDump

PhaseDump Python tool for decrypting W32/Phase modules, first 16-bytes is the MD5 hash of decrypted code, rest is PE file RC4 encrypted with "Phase" as the key...

RunPE

RunPE C reflective loader for unmanaged binaries. Usage Usage: RunPE.exe e.g. RunPE.exe C:\Windows\System32\net.exe localgroup administrators Alternative usage: RunPE.exe ---f ---b ---a e.g: RunPE.exe ---f C:\Windows\System32\svchost.exe ---b ---a Build configuration options Edit the compilation...

peframe

peframe peframe est un outil open source permettant d'effectuer une analyse statique des Exécutables Portables malveillants et des fichiers suspects génériques. Il peut aider les chercheurs en malwares à détecter un packer, xor, signature numérique, mutex, anti-débogage, anti-machine virtuelle,...

InflativeLoading

InflativeLoading Article: https://winslow1984.com/books/malware/page/reflectiveloading-and-inflativeloading Major Update History In this section, major updates are provided. Major updates do include added supports or features. 4/11/2024 Added PE Signature Obfuscation Only a few bytes in the PE...

Nimcrypt2

Nimcrypt2 Nimcrypt2 is yet another PE packer/loader designed to bypass AV/EDR. It is an improvement on my original Nimcrypt project, with the main improvements being the use of direct syscalls and the ability to load regular PE files as well as raw shellcode. Before going any further, I must...

mal_unpack

malunpack Динамический распаковщик на основе PE-sieve 📖 Подробнее . Он запускает упакованный вредоносный файл, ожидает, пока тот распакует полезную нагрузку, снимает её дамп и завершает исходный процесс. !CAUTION Этот распаковщик запускает исходный вредоносный код. Используйте его только на...

bad-dicom

Bad-DICOM PoC of my handcrafted CVE-2019-11687's exploit tool. I've crafted this PEDICOM as a Proof of Concept for my college's capstone: "Detection and prevention of attacks based on vulnerabilities of DICOM files against medical management services ". What is a PEDICOM DoomDicom.dcm is a PEDICO...

pe-sieve

Introduction PE-sieve est un outil qui aide à détecter les malwares en cours d'exécution sur le système, ainsi qu'à collecter le matériel potentiellement malveillant pour une analyse plus approfondie. Il reconnaît et vide une variété d'implants dans le processus scanné : PE remplacés/injectés,...

Sojobo

Sojobo - A binary analysis framework Sojobo is an emulator for the B2R2 framework. It was created to easier the analysis of potentially malicious files. It is totally developed in .NET so you don't need to install or compile any other external libraries the project is self contained. With Sojobo...

iocx

IOCX Детерминированное извлечение IOC с нулевым риском для современных конвейеров безопасности Статическое извлечение IOC из PE-файла с помощью IOCX CLI Официальный проект IOCX Это оригинальный движок IOCX для детерминированного статического извлечения IOC и анализа PE. Любые другие репозитории,...

pftriage

pftriage pftriage est un outil d'aide à l'analyse de fichiers lors du triage de logiciels malveillants. Il permet à un analyste de visualiser et d'extraire rapidement les propriétés d'un fichier pour faciliter le processus de triage. L'outil dispose également d'une fonction d'analyse capable de...

pe-bear

PE-bear PE-bear — это кроссплатформенный инструмент для реверс-инжиниринга PE-файлов. Его цель — предоставить быстрый и гибкий «первый взгляд» для аналитиков вредоносных программ, стабильный и способный обрабатывать повреждённые PE-файлы. Сигнатуры для PE-bear: SIG.txt обновлено: 17 октября 2022 ...

IAT-Hook

Хук - IAT Хукинг Хукинг — это техника, позволяющая перенаправить поток выполнения программы. Чаще всего мы используем хукинг функций. Мы либо заменяем, либо перенаправляем функцию на нашу собственную — это очень полезно и имеет множество применений. Существует несколько способов хукинга, здесь мы...

nimcrypt

nimcrypt Nimcrypt est un crypter PE .NET écrit en Nim, basé entièrement sur le travail du projet OffensiveNim de @byt3bl33d3r : https://github.com/byt3bl33d3r/OffensiveNim Cet outil a été inspiré par un article de blog de @S3cur3Th1sSh1t il y a quelques mois, car il s'agit essentiellement d'une...

windiff

WinDiff À propos WinDiff est un outil open-source basé sur le web qui permet de naviguer et de comparer les informations de symboles, de types et d'appels système des binaires Microsoft Windows à travers différentes versions du système d'exploitation. La base de données de binaires est mise à jou...

frostbyte

FrostByte Prologue : Ces derniers jours, j'ai expérimenté la technique d'injection via le gestionnaire AppDomain et j'ai obtenu un certain succès lors de mes précédentes missions Red Team contre certains EDR. Bien que cette méthode soit très efficace pour un vecteur d'accès initial, j'ai voulu...

rp

rp++ : un chercheur de gadgets ROP rapide pour les binaires PE/ELF/Mach-O x86/x64/ARM/ARM64 Aperçu rp++ ou rp est un chercheur de gadgets ROP en C++ pour les exécutables PE/ELF/Mach-O et les architectures x86/x64/ARM/ARM64. Trouver des gadgets ROP Pour trouver un gadget ROP, vous devez spécifier ...

ida_ifl

IFL - интерактивный список функций Лицензия: CC-BY https://creativecommons.org/licenses/by/3.0/ Небольшой плагин, цель которого — предоставить удобный способ навигации между функциями и их ссылками. Кроме того, он позволяет импортировать отчёты, созданные, например, PE-sieve, в IDA. Поддерживает:...

libpeconv

libPeConv Библиотека для загрузки и работы с PE-файлами. Цели Цель libPEConv — создать «швейцарский нож» для нестандартной загрузки PE-файлов. Он содержит различные вспомогательные функции, которые можно быстро интегрировать в собственный загрузчик. Например: переразметка секций, применение...