FalconEye

FalconEye: Windowsプロセスインジェクション向けリアルタイム検出ソフトウェア FalconEyeは、Windowsエンドポイント向けのリアルタイムプロセスインジェクション検出ソフトウェアです。これはカーネルモードドライバであり、プロセスインジェクションをリアルタイムで捕捉することを目的としています。FalconEyeはカーネルモードで動作するため、ユーザーモードのフックを回避しようとするプロセスインジェクション技術に対して、より強力で信頼性の高い防御を提供します。 プレゼンテーションは2021 Blackhat ASIA Arsenalとスライドでご確認いただけます。...

NullGate

NullGate このプロジェクトは、間接システムコールを使用してNTAPI関数を快適かつ現代的に利用する方法を実装しており、動的なシステムコール番号の取得には FreshyCalls メソッドを少しひねった形で組み合わせています。 また、Windows Defender のメモリスキャンを回避するために、これまで言及されているのを見たことがないテクニックも使用しています。 このプロジェクトは、このライブラリを使用した古典的なPoCプロセスインジェクタを実装しています。 便利な暗号化関数も利用できます。 Demo Build サンプルをビルドするには...

inject-assembly

inject-assembly - 既存プロセス内で.NETを実行 このツールは、Cobalt Strikeの従来のfork and run実行に代わるものです。ローダーは、現在のBeaconを含む任意のプロセスに注入できます。長時間実行されるアセンブリは、実行を継続し、execute-assemblyと同様の動作で出力をBeaconに送り返します。 inject-assemblyには2つのコンポーネントがあります： 1. BOF initializer :...

venom-rs

Rust 製 Shellcode Reflective DLL Injection sRDI（コードネーム: Venom） Shellcode reflective DLL injection（sRDI）は、プロセスインジェクション手法の一種で、指定した DLL を位置独立コード（position-independent code）へ変換し、お気に入りの shellcode インジェクション＆実行手法を使って注入できるようにするものです。 特徴 リフレクティブローダーのサイズは約 4KB です。...

globalprotect-ca-cert-ipc

c2us.exe - ログオン中のユーザーのデスクトップセッションで、実行中ユーザーとしてコマンドを起動します。この場合、非特権ユーザーのデスクトップセッションで cmd.exe を SYSTEM として起動します。 c2us.c - c2us.exe のソースコード。 epinject.exe - エントリポイントインジェクタ。新しいプロセスを生成し、そのエントリポイントにコードを注入するために使用されます。 loadgpsend.bin - epinject.exe を使用して PanGPA.exe に注入されるペイロード。メインのエクスプロイト本体である...

AudioServer-Voip-Recorder

目標: Android の audioserver（具体的には libaudioflinger.so）をフックし、システムが 通信 モードのときにアップリンク（マイク）とダウンリンク（スピーカー）の PCM バッファを記録することで、VoIP ストリームキャプチャを実演します。 プロジェクト設計と方法論 アーキテクチャ: コントローラーアプリ Android SELinux ポリシーの設定、ペイロード注入、データ移動、再生を管理する 9 つのボタンを備えた UI。 ペイロード libaudiohook.so Dobby を使用して内部の AudioFlinger メソッドをフックし、生の...

doublepulsar-usermode-injector

作者：Matt Hillman（[email protected] - @sp1nl0ck） 公司：Countercept（@countercept） 网站：https://countercept.com 一个利用 DOUBLEPULSAR 载荷中的用户态 shellcode，将任意 DLL 反射式加载到另一个进程中的实用工具，用于测试检测技术或进行其他安全研究。 背景 Shadow Brokers 泄露的 DOUBLEPULSAR 载荷最初在内核态运行，并通过异步过程调用（APC）将 DLL 反射式加载到用户态进程中。DLL 的实际加载发生在用户态，本工具利用该用户态...

process-injection-playground

Linux プロセスインジェクション・プレイグラウンド Linux 向けのプロセスインジェクション手法を包括的にまとめたコレクションです。実行中のプロセスにコードを注入するさまざまな方法を紹介しています。これらの例は、教育目的、セキュリティ研究、および低レベルな Linux プロセス操作の理解を目的としています。 概要 プロセスインジェクションは、別のプロセスのコンテキストでコードを実行するために使用される手法です。マルウェアと関連付けられることが多いですが、これらの手法は以下の目的にも役立ちます： セキュリティ研究 ：攻撃ベクトルの理解と防御策の開発 デバッグ...

VX-API

管理元: vx-underground | Twitterでフォローする Twitter | VXUG/samplesページでマルウェアサンプルをダウンロード VXUG/samples VX-API バージョン: 2.01.015 開発者: smellyvx VX-APIは、マルウェア開発を支援する悪意のある機能のコレクションです。このリポジトリ全体をクローンまたはダウンロードし、Visual Studioソリューションファイルを開いて機能やコンセプトを簡単に探索することをお勧めします。...

MalwareForge---Advanced-Static-Malware-Analyzer

🛡️ MalwareForge - 高度な静的マルウェアアナライザー MalwareForge は、ファイルを実行せずに悪意のある動作を検出する強力な静的マルウェア解析ツールです。 ✨ 特徴 🦠 挙動分析 : プロセスインジェクション、永続化、ネットワーク、スティーラー、回避 💉 8種類のインジェクション技術 : プロセスハロウイング、APCインジェクション、リフレクティブDLL、など 📦 パッカー検出 : UPX、Themida、VMProtect、ASPack、MPRESS 🔑 ハッシュデータベース : 既知のマルウェアファミリーの検出 🛡️ VirusTotal統合 :...

Dirty-Vanity

Dirty Vanity Windows の fork API を悪用して EDR を回避する、新しいインジェクション技術の POC です。 使い方 DirtyVanity.exe TARGETPIDTOREFLECT 実行手順 TARGETPIDTOREFLECT にシェルコードを割り当てて書き込む TARGETPIDTOREFLECT を新しいプロセスにフォークする フォークしたプロセスの開始アドレスを、クローンしたシェルコードに設定する シェルコード リフレクトされたシェルコードは ntdll API で動作します。同梱の生成プロジェクト shellcodetemplate...

CobaltWhispers

CobaltWhispers 著者: @Cerbersec CobaltWhispers は、Cobalt Strike 用の Beacon Object Files のコレクションを利用し、直接システムコールを活用して EDR/AV をバイパスしながら、プロセスインジェクションや永続化などを実行する aggressor スクリプトです。 CobaltWhispers は SysWhispers2 と InlineWhispers2 を基盤としています。 CobaltWhispers は StayKit、および Hasherezade と Forrest Orr の研究成果に基づいていま...

injection-2

Windows 进程注入 以下是在 Windows 操作系统上用于进程注入的一些流行方法。 Conhost ExtraBytes PROPagate Service Control Handler Print Spooler / ALPC KernelCallbackTable CLIPBRDWNDCLASS WordWarping, Hyphentension, AutoCourgette, Streamception, Oleum, ListPlanting, Treepoline Windows Notification Facility Windows Sockets Helpe...

Split

説明 分割統治（Divide and Conquer）は、複雑な問題を多くのより単純な部分問題に分割することで解決するためにプログラミングで一般的に適用されるアルゴリズムです。私たちはこのアプローチを、異なる目標を持ってオフェンシブセキュリティに適用できます。それは、EDRを混乱させて私たちの活動を見失わせ、アラートを発生させないようにすることです。これは、最近の実環境におけるほとんどすべてのフィッシングキャンペーンで見られるものと似ています。最終ペイロードを直接実行する代わりに、複数のファイルを段階的に実行する長い感染チェーン（例：.url - .one - .js - .bat -...

DInvoke

DInvoke Windows 上 PInvoke 的动态替代方案。DInvoke 包含强大的原语，可以智能地组合，以高精度地从磁盘或内存动态调用非托管代码。它可用于多种目的，例如 PE 解析、智能动态 API 解析、在运行时动态加载 PE 插件、进程注入以及规避 API 钩子。 功能特性： 无需 PInvoke 即可动态调用非托管 API 提供能够进行战略性 API 钩子规避的原语 从托管代码手动映射非托管 PE 模块 将 PE 模块映射到由磁盘上任意模块支持的内存区域 模块化的进程注入 API 不断增长的数据结构、委托和函数包装库（欢迎分享 :-） 支持 .NET v3.5+ 会议演...

process-inject-kit

Process Inject Kit これは、Cobalt StrikeのProcess Inject KitをCからC++ BOFテンプレートへ移植したものです。 仕組み 組み込みのfork and runプロセスインジェクション技術は、PROCESSINJECTSPAWNフックとPROCESSINJECTEXPLICITフックで変更できます。 このリポジトリは以下を提供します。 組み込み技術を実装したソースコード。 フックを実装するアグレッサースクリプト。 コンパイルして配布ディレクトリを生成するVisual Studioソリューション。 PROCESSINJECTSPAWN...

Christmas

Maldev Academy Maldev Academyホーム Maldev Academyシラバス Christmas @Hexacorn氏が言及したインジェクション手法の実装。 このPoCは複数のプロセスを作成し、各プロセスがインジェクション操作の一部として特定のタスクを実行します。各子プロセスは別のプロセスを生成し、必要な情報をコマンドライン経由で渡します。このプログラムは以下の手順に従います： 1. 最初の子プロセスが、ペイロードが注入される対象プロセスを作成します。ハンドルは後続のすべての子プロセス間で継承されます。 2...

RemoteDLLInjector

はじめに これは、DLLインジェクションに使用できるツールです： RemoteDLLInjectorは、実行された瞬間から、DLLインジェクションを達成するために実行する完全な手順を提供します。 DLLが正常にインジェクションされると、プロセスの権限を持つmeterpreterセッションが返されます。したがって、標準よりも高い権限を持つプロセスは、特権昇格のために悪用される可能性があります。...

invoker

Invoker ペネトレーションテストユーティリティおよびアンチウイルス評価ツール。 Visual Studio Community 2022 v17.5.4（64ビット）でビルドし、Windows 10 Enterprise OS（64ビット）でテストしました。 教育目的で作成されました。お役に立てれば幸いです！ このリポジトリには既知のシグネチャが含まれ始めており、毎回新しい実行ファイルをアップロードする時間がないため、このプロジェクトを自分でコンパイルする必要があります。 便利なウェブサイト: elastic.co learn.microsoft.com...

dvenom

🐍 Double Venom DVenom Double Venom DVenomは、シェルコード用の暗号化ラッパーとローダーを提供することで、レッドチームがAVをバイパスするのを支援するツールです。 🚀 機能 🛡️ いくつかの著名なアンチウイルスAVをバイパス可能。 🔒 RC4、AES256、XOR、ROTを含む複数の暗号化方式を提供。 🏗️ C、Rust、PowerShell、ASPX、VBAのソースコードを生成。 🔄 VirtualAlloc、Process Injection、NT Section Injection、Hollow Process...