SharpZipRunner

SharpZipRunner 암호화된 zip 파일에서 위치 독립적인 셸코드를 실행합니다. Donut, Metasploit 또는 CobaltStrike RAW 형식을 사용하여 어셈블리에서 PIC 코드를 가져옵니다. .bin 파일을 zip으로 압축하고 암호로 암호화합니다. 이 어셈블리는 zip 항목을 메모리에서 해독하고 D/Invokes 인젝션 API를 사용하여 실행합니다. 실행 중인 프로세스에 인젝션하거나, 먼저 새 프로세스를 생성한 후 새로 생성된 프로세스에 인젝션할 수 있습니다. 자체 인젝션은 이론적으로 가능해야 하지만 충돌을...

ghost

Ghost Ghost는 Rust로 작성된 프로세스 인젝션 탐지 도구입니다. 실행 중인 프로세스를 감시하며 코드 인젝션, 메모리 조작, 그리고 맬웨어가 숨기기 위해 사용하는 기타 트릭과 같은 의심스러운 활동을 포착하려고 시도합니다. 기능 핵심 아이디어는 간단합니다. 프로세스를 스캔하여 이상한 메모리 패턴, 후킹된 함수, 셸코드 등 변조의 징후를 찾는 것입니다. Windows, Linux, macOS에서 작동합니다 현재 Windows 지원이 가장 완전합니다. 탐지 가능한 항목: 읽기-쓰기-실행 권한이 있는 메모리 영역 - 일반적으...

RecycledInjector

RecycledInjector 설명 현재 동일 프로세스 내에서 네이티브/.NET 어셈블리 셸코드를 주입하는 완전 미탐지 도구입니다. RecycledGate를 기반으로 하며, 이는 다시 HellsGate + HalosGate + TartarusGate를 기반으로 합니다. 한 기법이 실패하더라도 탐지 불가능한 네이티브 시스템 콜을 보장합니다. 은밀성을 유지하고 최종 실행 파일의 엔트로피를 낮추기 위해 셸코드는 항상 외부에서 로드되어야 합니다. 대부분의 AV/EDR은 어차피 실행 파일이나 DLL이 아닌 파일에서 시그니처를 검사하지 ...

dlinject

dlinject.py 공유 라이브러리임의 코드를 ptrace 없이 실행 중인 리눅스 프로세스에 주입합니다. Cexigua 및 linux-inject 등에서 영감을 받았습니다. 사용법 .. . | /| | || || / | .. / | | | | |/ \ | |/ / \ \ \ | \ | |/|| /| |\ \ | /| // | / /| / / /|| / source: https://github.com/DavidBuchanan314/dlinject usage: dlinject.py -h --stopmethod...

RustyWater-ShellCode-Dropper

RustyWater ShellCode Dropper RustyWater는 Static Kitten 그룹 공격에서 주요 페이로드이자 전체 적대적 작전의 핵심을 나타냅니다. RustyWater는 Rust로 컴파일된 실행 파일가짜 Cloudflare 아이콘을 가진 reddit.exe로 위장로, 프로세스 인젝션 및 레지스트리 기반 지속성을 통해 강력한 AV/EDR 회피 기능을 갖춘 것으로 알려져 있습니다RustyWater, 또는 Archer RAT/RUSTRIC와 연관됨. 1-안티 분석 Reddit.exe는 모니터링, 가상화 또는...

CryKeX

Properties: 크로스 플랫폼 미니멀리즘 단순함 상호작용성 호환성/이식성 애플리케이션 독립적 프로세스 래핑 프로세스 인젝션 Dependencies: Unix - 모든 Unix 기반 OS에서 작동 BASH - 전체 스크립트 root 권한 선택 사항 Limitations: AES 및 RSA 키만 Firefox 브라우저에서는 대부분 실패 디스크 암호화LUKS 및 PGP/GPG에서는 작동하지 않음 적절한 사용자 권한 및 메모리 권한 필요 작동 방식 이미 제 AES-REX 프로젝트를 들어보거나 사용해보셨을 수도 있습니다. 이...

CryKeX

Properties: Cross-platform Minimalism Simplicity Interactivity Compatibility/Portability Application Independable Process Wrapping Process Injection Dependencies: Unix - should work on any Unix-based OS BASH - the whole script root privileges optional Limitations: AES and RSA keys only Fails most...

PyHook

PyHook PyHook는 제 SharpHook 프로젝트의 Python 구현입니다. 다양한 API 후크를 사용하여 원하는 자격 증명을 획득합니다. PyHook는 Frida를 사용하여 대상 프로세스에 의존성을 주입합니다. 지원되는 프로세스 프로세스| API 호출| 설명| 진행 상태 ---|---|---|--- mstsc| CredUnPackAuthenticationBufferW| mstsc에서 CredUnPackAuthenticationBufferW를 후킹하여 사용자 이름과 비밀번호를 출력합니다.| 완료 runas|...

renef-skills

renef-skills Claude Code 플러그인 으로, AI 에이전트가 Android ARM64 용 동적 계측 엔진인 renef.io를 올바르게 사용 하도록 해줍니다 — 네이티브 및 Java 함수 후킹, 프로세스 메모리 스캔/읽기/쓰기/패치, syscall 추적, 그리고 Lua 5.4 스크립트를 통한 SSL 핀닝/루트 탐지 우회memfd 인젝션, ptrace 미사용. 이 문서는 운영자 매뉴얼이지 튜토리얼이 아닙니다. 이미 Frida 훅, GameGuardiangg. 치트 또는 게임 해킹 Lua를 작성할 수 있는 에이전트는...

lutlol

Living Under the Land on Linux 同名のトークの資料: BSides Belfast 2025 BSides Vienna 2025 このコードはそのままでは特に使い物になりませんが、参考にはなるかもしれません。 役立つもの: src/ ディレクトリ - トーク内のほとんどのもののソースコード ProcrastinationEDR - おそらく世界最悪の EDnot reallyR Sneaky Remap - 隠すためのもの Anime Costume Cheese - 注入可能な共有オブジェクトファイル Kas-playing as Curl in a...

InjectProc

InjectProc プロセスインジェクションは、コードの悪意ある動作を隠蔽するための非常に一般的な手法であり、マルウェア作成者によって頻繁に利用されています。 一般的に使用されるいくつかのテクニックがあります： DLLインジェクション、プロセス置換（別名プロセスホローイング）、フックインジェクション、APCインジェクションです。 これらのほとんどは同じWindows API関数を使用します： OpenProcess、VirtualAllocEx、WriteProcessMemory。これらの関数の詳細については、MSDNを参照してください。 DLLインジェクション： 対象プロセスを開く...

bat

Behavioral Adversary Tracer BAT BAT は、Linux と Windows 向けの現実的で進化する敵対的脅威モデルです。これは C2 フレームワークでもルートキットでもありません。C2 通信、カーネルレベルのステルスルートキットモジュール、ユーザースペース回避、権限昇格、永続化、プロセスインジェクション、認証情報収集、データ流出、横展開を単一の統合された敵対者にまとめた完全な脅威シミュレーションプラットフォームです。設計目標は、2026 年に達成可能な最も高度で現実的な Linux 脅威となることであり、現在の検出システムが何を捕捉するかとは独立しています...

ChromeKatz

ChromeKatz ChromeKatzは、Chromiumベースのブラウザのメモリから機密情報をダンプするためのソリューションです。 現時点では、ChromeKatzは次の3つのプロジェクトで構成されています： 1. CookieKatz - Cookieダンパー 2. CredentialKatz - 非推奨... とりあえず 3. ElevationKatz - エレベーションサービスから復号鍵を取得 CookieKatzには、実行ファイル、Beacon Object File、ミニダンプパーサーがあります。また、ElevationKatzには実行ファイルとBeacon...

DropSpawn_BOF

DropSpawn 소개 DropSpawn은 비교적 알려지지 않은 DLL 하이재킹 방법을 통해 추가 비콘Beacon을 생성하는 데 사용되는 CobaltStrike BOF입니다. x86-x86, x64-x64, x86-x64/그 반대를 지원합니다. 프로세스 인젝션 대안으로 사용하세요. Windows 실행 파일은 DLL 검색 순서를 따릅니다. 절대 경로가 지정되지 않은 DLL을 로드하려고 할 때: DLL 하이재킹은 일반적으로 다음 중 하나가 필요합니다: A. 사용자가 실제 DLL이 있는 폴더보다 검색 순서 우선순위가 높은 폴더에 쓰...

TiEtwAgent

TiEtwAgent - ETW 기반 프로세스 인젝션 탐지 이 프로젝트는 다양한 메모리 인젝션 탐지 사용 사례와 우회 기법을 연구, 구축 및 테스트하기 위해 만들어졌습니다. 에이전트는 Microsoft-Windows-Threat-Intelligence 이벤트 추적 공급자를 사용하며, Userland 후킹보다 더 현대적이고 안정적인 대안으로, 커널 모드 가시성의 이점을 제공합니다. 프로젝트는 ETS 설정 및 소비를 위해 microsoft/krabsetw 라이브러리에 의존합니다. 관련 블로그 게시물은 여기에서 확인할 수 있습니다:...

aether

Aether 版本：0.9（稳定版） Aether 是一款 Windows 内存取证和威胁狩猎工具，可扫描活动进程内存中的恶意模式、检测注入技术、植入签名及反射加载的 .NET 程序集。它采用多层置信度模型，大幅降低误报率，并主动搜寻恶意行为。Aether 在检测进程镂空（Hollowing）、APC、线程劫持等技术方面具有良好的能力。安全分析师可使用它进行扫描、狩猎，并快照可疑区域以进行离线分析。 文档：https://0xsp.com/docs/aether-getting-started/ 研究文章：...

ThreadlessInject

スレッドレスプロセスインジェクション 私の Bsides Cymru 2023 の講演より: Needles Without the Thread 。 レッドチームのメンバーとして、私たちは常にブルーチームとのいたちごっこに身を置いています。過去10年間で、多くのアンチウイルスやEDRソリューションは、ファイルレスマルウェアのアクティビティを汎用的に検出する能力が大幅に向上しました。...

Remote-BOF-Runner

Remote BOF Runner Crystal Palace 기반 PIC 로더를 사용하여 Beacon Object FilesBOF를 원격으로 실행할 수 있는 Havoc 확장 프레임워크입니다. 개요 Remote BOF Runner는 Crystal Palace PIC 로더를 활용하여 임의의 프로세스에서 BOF를 안전하게 실행할 수 있게 해줍니다. 이 프레임워크는 명명된 파이프를 통한 정교한 프로세스 간 통신IPC 메커니즘을 구현하여 인젝션된 프로세스의 비콘 출력을 명령 및 제어C2 서버로 투명하게 전달합니다. 설정 및 설치 확장...

clrinject

clrinject C EXE 또는 DLL 어셈블리를 다른 프로세스의 모든 CLR 런타임 및 AppDomain에 주입합니다. 주입된 어셈블리는 주입 대상 프로세스의 클래스의 정적 인스턴스에 접근하여 내부 상태에 영향을 줄 수 있습니다. 사용법 clrinject-cli.exe -p -a 또는 의 프로세스를 열고, EXE를 주입하여 Main 메서드를 실행합니다. 추가 옵션 -e 로드된 모든 CLR 런타임과 생성된 AppDomain을 열거합니다. -d 번째 AppDomain에만 주입합니다. 숫자가 지정되지 않거나 0이면 모든...

K55

K55 - Linux x8664 프로세스 인젝션 유틸리티 C++14 K55 소개 발음: "케이 피프티 파이브" K55 페이로드 인젝션 도구는 x8664 셸코드 페이로드를 실행 중인 프로세스에 주입하는 데 사용됩니다. 이 유틸리티는 최신 C++11 기술과 ptrace와 같은 전통적인 C 리눅스 함수를 함께 사용하여 개발되었습니다. 대상 프로세스에서 실행되는 셸코드는 27바이트이며, 대상의 주소 공간 내에서 /bin/sh bash 셸을 실행합니다. 향후에는 사용자가 명령줄 인수를 통해 자신의 셸코드를 입력할 수 있도록 할 예정입니...