TickTock

TickTock 本仓库演示了一个用于枚举计时器队列（timer-queue）计时器的 PoC 内存扫描器，该技术被用于 Ekko 睡眠混淆（Sleep Obfuscation）：https://github.com/Cracked5pider/Ekko。如需完整的技术讲解，请参阅随附的博客文章：https://labs.withsecure.com/publications/hunting-for-timer-queue-timers.html。 以下截图展示了在 Ekko 运行期间扫描计时器队列计时器的结果： 注意：需要提醒的是，本 PoC 已在 Windows 10 1607 和...