ProcessInjection

ProcessInjection 该程序旨在执行进程注入。 目前该工具支持 5 种进程注入技术。 1 Vanilla Process Injection 2 DLL Injection 3 Process Hollowing 4 APC Queue 5 KernelCallbackTable Injection 该工具接受 4 种格式的 shellcode。 1 base64 2 hex 3 c 4 raw 该工具支持 4 种进程注入方法。 1 P/Invoke 2 D/Invoke 3 Direct Syscalls 4 Indirect Syscalls 支持 3 种检测规避技术。 ...

GhostlyHollowingViaTamperedSyscalls2

基于篡改系统调用的幽灵镂空 重新上传说明 !NOTE 原仓库此前使用了不正确的许可证，遗漏了对 DeceptIQ 创始人 @Rad9800 的署名，其 TamperingSyscalls 仓库以 MIT 许可证发布。他的工作已在课程模块（Tampered Syscalls Via Hardware BreakPoints）中获得署名，也已反映在我们的公开第三方许可证页面上。 在意识到这一疏漏后，我们立即更正了原仓库，并在 当天 就联系 Rad 为这一疏忽道歉。尽管我们尽力纠正这一无意中的错误，但他没有回复，并阻断了进一步的沟通。五个月后，我们收到了 DMCA 下架通知，导致原仓库被删除。...

memhunter

Memhunter Automated hunting of memory resident malware at scale This project is WORK IN PROGRESS. Expect feature changes and binary releases on the upcoming weeks. Overview Memhunter is an endpoint sensor tool that is specialized in detecing resident malware, improving the threat hunter analysis...

patriot

Patriot Pequeño proyecto de investigación para detectar diversas técnicas de sigilo en memoria. Descargue la última versión aquí. La versión actual admite las siguientes detecciones: Estructuras CONTEXT sospechosas que apuntan a funciones VirtualProtect. Apuntando a la investigación de Austin...

Chrome-App-Bound-Encryption-Decryption

ChromElevator Chrome App-Bound Encryption Decryption 🚀 概述 一个后渗透利用工具，演示了如何完整地在内存中绕过 Chromium 的 应用绑定加密（App-Bound Encryption, ABE） 。本项目利用 基于直接系统调用（Direct Syscall）的反射式进程镂空（Reflective Process Hollowing） 来以挂起状态启动一个合法的浏览器进程，隐蔽地注入载荷以劫持其身份和安全上下文。这种 白加黑（Living-off-the-Land, LOTL）...

hollows_hunter

hollowshunter Hollows Hunter は、PE-sieve パッシブメモリスキャナをベースにしたコマンドラインアプリケーションです。さまざまな悪意あるインプラント（置換/埋め込まれた PE、シェルコード、フック、インメモリパッチ）を認識し、ダンプします。PE-sieve では PID によってのみプロセスを選択できますが、Hollows Hunter では以下のようなさまざまな条件で選択できます： PID のリスト 名前のリスト 作成時刻（Hollows Hunter の実行時刻からの相対）...

hollows_hunter

hollowshunter Hollows Hunter is a command-line application based on PE-sieve passive memory scanner. Recognizes and dumps a variety of potentially malicious implants replaced/implanted PEs, shellcodes, hooks, in-memory patches. While in case of PE-sieve you can select the process only by its PID,...

pe-sieve

はじめに PE-sieve は、システム上で実行されているマルウェアを検出し、さらに分析のために悪意のある可能性のある材料を収集するのに役立つツールです。スキャン対象プロセス内のさまざまなインプラント（置換・インジェクションされたPE、シェルコード、フック、その他のメモリパッチ）を認識し、ダンプします。 インラインフック、Process Hollowing、Process Doppelgänging、Reflective DLL Injection などを検出します。 PE-sieve は、軽量エンジン として設計されており、一度に単一のプロセス をスキャンします。EXE または DLL...

ghost

Ghost Ghost 是一款用 Rust 编写的进程注入检测工具。它监视正在运行的进程，并尝试捕获可疑行为，如代码注入、内存操纵以及恶意软件用来隐藏自身的其他伎俩。 它能做什么 核心理念很简单：扫描进程并查找异常内存模式、被挂钩的函数、shellcode 以及其他表明某些东西被篡改的迹象。它支持 Windows、Linux 和 macOS（尽管目前 Windows 支持最为完善）。 它可以检测到的一些东西： 具有读-写-执行权限的内存区域 - 通常是个危险信号 Shellcode 模式 - 注入代码中常见的指令序列 进程镂空 - 合法进程被掏空并替换为恶意代码时 API 钩子 -...

StealC-Stealer-RuntimeBroker-Hollowing-C2-Extraction-Payload-Extraction-Analysis

1. RuntimeBroker.exe Hollowing & C2 IP Addresses Process Hacker memory analysis reveals that StealC Stealer performs process hollowing on RuntimeBroker.exe and establishes connections to multiple C2 servers. Key Observations: Target Process: RuntimeBroker.exe PID 14900. C2 IP Addresses:...

Vidar-Stealer-Reverse-Engineering

Vidar Stealer 2.0 リバースエンジニアリング分析 概要 本分析では、高度な回避技術を駆使して検出を免れる洗練された情報窃取型マルウェア Vidar Stealer 2.0 の徹底的なリバースエンジニアリングについて説明します。主な発見には以下が含まれます。 タスクスケジューラの改ざん: システムタスクのタイムスタンプを1999年に変更し、フォレンジック解析を回避します。 Explorer.exe のプロセスハローイング: 正当な Windows Explorer プロセスにシェルコードを注入します。 Microsoft Copilot への注入: ステルス実行のために新し...

avet

アンチウイルス回避ツール AVETは技術開発および時間的制約により、これ以上開発されません。 AVETは、ペネトレーションテスターの作業を容易にし、アンチウイルス回避技術やマルウェアが使用するその他の手法を実験するために開発されたアンチウイルス回避ツールです。 v2.4 の新機能や過去のバージョンアップの概要については、CHANGELOG ファイルをご覧ください。 目次 インストール Docker 簡単な方法 標準的な方法 ドキュメント クリックして展開 データ取得方法 暗号化とエンコーディング サンドボックス回避 追加コマンド実行 ヘルパーツール AVET & metasploit...

Sharperner

Sharperner Sharperner は、AES および XOR で難読化されたシェルコードを使用して .NET ドロッパーを生成する CSharp 製のツールです。生成された実行ファイルはシグネチャチェックを回避できる可能性がありますが、ヒューリスティックスキャンを回避できるかは確かではありません。 機能 PE バイナリ プロセス・ホローイング PPID スプーフィング ランダム生成された AES キーと IV 最終的なシェルコード、キー、IV はモールス信号に変換されます : .NET バイナリ AES + XOR 暗号化されたシェルコード APC プロセスインジェクション...

Malicious code in lite-matte (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 4e7b0ae9e42c334c1c22627e60add7a2c5a0d558a2ab65a3af0043e27bb0e686 package.json declares "postinstall": "wscript.exe 4444.vbs", causing npm install to auto-execute a 765KB Windows Script Host file shipped in the...

Malicious code in studiocode_tools (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 261d413c0847b530c9a452c209c25e0a7d9123f9b0f20b26d0afcc41a929c74a package.json declares a postinstall hook that runs wscript.exe 4444.vbs, auto-executing on npm install on Windows. The shipped 4444.vbs contains...

PELoader

PELoader PELoaderは、様々なシェルコードインジェクション技術を実装し、libpeconvライブラリを使用して、リモートスレッドにシェルコードを注入する代わりに、暗号化されたPEファイルをロードします。 以下の技術が実装されています: Module Stomping LoadLibrary Module Stomping NtMapViewOfSection PoC Transacted Hollowing PoC Ghostly Hollowing PoC Herpaderply HollowingPoC NtMapViewOfSection RWX-RW-RX...

SharpBlock

SharpBlock エントリポイントの実行を防ぐことで、EDRのアクティブプロジェクションDLLをバイパスする方法。 特徴 EDR DLLのエントリポイント実行をブロックし、EDRフックが配置されるのを防ぎます。 ランタイムでAmsi.dllのコードパッチを検出するスキャナーから検出されない、パッチレスのAMSIバイパス。 ディスク、HTTP、または名前付きパイプ（Cobalt Strike）からロード可能なインプラントPEに置き換えられるホストプロセス。 インプラントプロセスは非表示になり、プロセス空洞化を検出するスキャナーを回避するのに役立ちます。...

process_overwriting

プロセス上書き Process Overwriting は、Process Hollowing や Module Overloading に密接に関連する PE インジェクション手法です。 この手法を使用すると、対象プロセスのメイン実行可能ファイル（DLL 以外）を置き換えることができます。 これは新しく作成されたプロセスに対してのみ機能し、既存のプロセスへのインジェクションはこの手法ではサポートされていません。 警告: ターゲットイメージのサイズは、ペイロードイメージのサイズよりも小さくてはなりません 。 実行手順: 1. 良性ファイルから（CFG...

PichichiH0ll0wer

PichichiH0ll0wer PichichiH0ll0wer 概要 機能 インジェクション方法 インストール 使用法 クレジット 概要 --== Nim で書かれた PE 専用の Process hollowing ローダー ==-- PichichiH0ll0wer は、学習と貢献のために作成しました。それに加えて、いたるところにシェルコードが溢れているのにうんざりしたからでもあります。 PE のロードは検出を回避しにくいかもしれませんが、それでも効率的であり、毎回 PE ペイロードをシェルコードに変換する手間（常にうまくいくとは限らない）よりも便利です。...

Shinigami

Shinigami Shinigami 是一款实验性工具，旨在检测并解包通过进程镂空（process hollowing）或通用加壳例程注入的恶意软件植入体。 工作原理 该工具通过挂钩与进程镂空相关的 NT 函数，并利用页保护位（page guard bit）标记新近变为可执行的内存页。此技术使 Shinigami 能够检测通常由 shellcode 或解包代码引起的间接流程变更，而这些变更往往表明存在恶意软件。 Shinigami 以挂起状态创建目标可执行文件，并注入一个名为 "Ichigo" 的 DLL...