SharpStay

SharpStay - .NET 지속성 빌드 컴파일하려면 Visual Studio 프로젝트를 열고 릴리스용으로 컴파일하세요. 옵션 상승된 레지스트리 키 상승된 UserInit 레지스트리 키 상승된 예약 작업 상승된 서비스 생성 상승된 WMI 이벤트 구독 비상승 InitMprLogonScript 레지스트리 키 비상승 예약 작업 COM 핸들러 하이재킹 비상승 정션 폴더 기타 예약 작업 동작 추가 기타 시작 디렉터리 기타 새 LNK 기타 백도어 LNK 기타 작업 이름 기타 예약 작업 나열 기타 실행 중인 서비스 나열 기타 예약 작업...

RightHand-Persistence

RightHand Persistence CVE-2026-21509에서 영감을 받음 지속성을 위한 C++ COM 컨텍스트 메뉴 핸들러 C++ 및 COM을 사용한 Windows 컨텍스트 메뉴 핸들러의 샘플 구현으로, 은밀한 지속성 기술을 보여줍니다. 사용자 지정 COM 개체를 등록하면 사용자가 Windows 탐색기에서 특정 대상파일, 폴더 또는 배경을 마우스 오른쪽 버튼으로 클릭할 때마다 코드가 실행됩니다. 면책 조항: 이 프로젝트는 교육 및 연구 목적으로만 제공됩니다. 여기에 설명된 기술은 악의적인 목적으로 사용될 수 있습니다...

EDRChoker

EDRChoker EDRChoker は、ポリシーベースの Quality of Service QoS を使用して、エンドポイント検出および応答 EDR エージェントに厳格な帯域幅制限 スロットリング を設定し、常にタイムアウトさせることで、事実上ブロックします。 ルールは即座に有効になり、ターゲットが Windows を再起動しても持続します。 EDRChoker は Windows の pacer.sys ドライバーに依存しています。 コマンドライン構文 EDRChoker.exe ListFile 内のすべてのプロセス名に対して QoS ポリシーを作成します - 各行が 1...

BlackLotus

BlackLotus BlackLotus는 Windows용으로 설계된 혁신적인 UEFI 부트킷입니다. 제거 시도를 방지하기 위해 내장된 Secure Boot 우회 및 Ring0/커널 보호 기능을 통합하고 있습니다. 이 소프트웨어는 HTTP 로더 역할을 합니다. 강력한 지속성 덕분에 에이전트를 새로운 암호화 방식으로 자주 업데이트할 필요가 없습니다. 일단 배포되면 기존의 안티바이러스 소프트웨어는 이를 검사하거나 제거할 수 없습니다. 이 소프트웨어는 대상 장치에 설치되는 에이전트와 관리자가 봇을 관리하는 데 사용하는 웹 인터페이스라...

SharpCovertTube

SharpCovertTube SharpCovertTubeは、Youtubeに動画をアップロードしてWindowsシステムをリモート制御するために作成されたプログラムです。 このプログラムは、動画がアップロードされるまでYoutubeチャンネルを監視し、アップロードされた動画のサムネイルからQRコードをデコードしてコマンドを実行します。動画内のQRコードは平文またはAES暗号化された値を使用できます。 バイナリ版とサービスバイナリ版の2つのバージョンがあり、悪意のある動画を生成するPythonスクリプトが含まれています。その目的は、Google...

PIRATE

PIRATE Python リモートアクセスツール 使用方法 1- payloader.py を実行してクライアントスクリプトを生成します 2- pirate.py を実行してサーバーを管理し、接続を受け付けます 特徴 リモートシェルを開く スクリーンショットを撮影 ウェブカメラで写真を撮影 キーロガーを実行 Windows での永続化 ファイルの送受信 Windows メッセージボックスを開く 使用例 ペイロードファイルを生成します pirate.py を起動して接続を待ち受けます 接続を待ちましょう! 接続が確立されたら、被害者のマシン上で任意のコマンドを実行できます...

RedPersist

RedPersist RedPersist는 C으로 작성된 Windows 지속성 도구입니다. 프로젝트 컴파일 이 프로젝트에서는 아래의 서드파티 라이브러리가 사용됩니다. TaskScheduler https://github.com/dahall/TaskScheduler Fody https://github.com/Fody/Fody Visual Studio 프로젝트를 로드하고 "도구" "NuGet 패키지 관리자" "패키지 관리자 설정"으로 이동합니다. "NuGet 패키지 관리자" "패키지 소스"를 엽니다. Fody 설치...

Suborner

Suborner: 보이지 않는 계정 위조기 이게 뭐죠? 당신만 알게 될 Windows 계정을 생성하는 간단한 프로그램입니다 : net user 또는 Windows OS 사용자 관리 애플리케이션예: netapi32::netuseradd 없이 보이지 않는 로컬 계정 생성 모든 Windows NT 머신Windows XP 11, Windows Server 2003 2022에서 작동 성공적인 인증 후 RID 하이재킹을 통해 기존 계정활성 또는 비활성을 가장 관리자 권한으로 보이지 않는 머신 계정을 생성하며, 그 생성을 보고하는 성가신...

persistence-info.github.io

このリポジトリは、保護/検出をより効率的にするために、Windows の永続化メカニズムに関する情報を収集しようとしています。情報のほとんどは長年にわたってよく知られており、さまざまなシナリオで積極的に使用されています。 さらなる追加を予定しています。毎日新しいエントリを追加するよう最善を尽くしています。 仕組みと貢献方法。 👨‍💼 HKCU Run および RunOnce レジストリ キー 👨‍💼 ⚙ タスク スケジューラ ⚙ Image File Execution Options キー ⚙ Windows サービス AeDebug WER デバッガー ⚙ Natural...

SharPersist

SharPersist Windows用永続化ツールキット（Cで記述）。各テクニックの詳細な使用方法については、Wikiを参照してください。 作者 - Brett Hawkins @h4wkst3r リリース SharPersistのパブリックバージョン1.0.1は、Releasesセクションにあります。 インストール/ビルド プリコンパイル済み Releasesセクションのプリコンパイル済みバイナリを使用してください。 自分でビルドする プロジェクトを自分でコンパイルするために、Visual...

hermes-the-messenger

Hermes the messenger Windows でプッシュ通知を介して永続化を実現する PoC 技術的な詳細と背景については、こちらのブログ記事をお読みください: https://www.persistent-security.net/post/beacon-on-demand-abusing-push-notifications-for-persistence 使い方 何はともあれ、Azure のセットアップが必要です。次に、プッシュ通知のために自身を登録するため、実行可能ファイルを一度実行する必要があります。引数として Azure アプリのオブジェクト ID...

Malicious code in mfacord (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 6e8426c0e4e80e0bd9839d8517e060bd923775b8a3e100aab57e18b4f47c970e On require'mfacord', index.js loads lib/cache.js, which on win32 decodes a hardcoded URL...

MAL-2026-15557 Malicious code in mfacord (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 6e8426c0e4e80e0bd9839d8517e060bd923775b8a3e100aab57e18b4f47c970e On require'mfacord', index.js loads lib/cache.js, which on win32 decodes a hardcoded URL...

MAL-2026-12468 Malicious code in streak-math-kit (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 6ba4f1a9b23ca375fed98868d8ca488ec722b473060834412b0b1b23f5cae37a [email protected] is advertised as a math primitives library but its index.mjs top-level IIFE bootstrap runs on any import and drops a hex-embedd...

Malicious code in ulid-xyz (npm)

ulid-xyz is a typosquat of the popular ulid library sortable unique IDs and is a cross-platform Remote Access Trojan delivered via a postinstall hook. The package.json postinstall superficially looks like an inline node -e guard that checks for the existence of a dist file, but it actually launch...

Malicious code in theme-color-picker (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector f7a4ba7e8664b9e1d99c4018963a4731d591653d7f2a9b879ba090e7a7f6e7bd Although the package presents itself as a 'theme color picker', package.json identifies the publisher as analysis-chart.io with repository...

Malicious code in web3-token-helper (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 0c826bf782895b60580b94e3a28a2c4562d3742420ce81e9895ad8568da57890 The package advertises itself as a Web3 fee utility but its main export is a dropper. index.js line 140 base64-decodes a platform-specific command...

Malicious code in vitest-pro (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 39810890a1ffc946b3da439738fb619eab1613a775a308d6f248b80b38ce5603 Package vitest-pro is a namespace-abuse lure: its name suggests a vitest extension, but its source tree, README, and main entry lib/nodemailer.js are...

MAL-2026-5862 Malicious code in vitest-pro (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 39810890a1ffc946b3da439738fb619eab1613a775a308d6f248b80b38ce5603 Package vitest-pro is a namespace-abuse lure: its name suggests a vitest extension, but its source tree, README, and main entry lib/nodemailer.js are...

MAL-2026-4347 Malicious code in @devcarron/clob (npm)

A campaign of npm packages sharing a common dropper clob.js that downloads and persistently installs a Windows executable from IPFS on postinstall. The dropper fetches the binary from IPFS CID bafybeif3zkapj364ofnrvbty7oj5h5ufpxlp4s62usk3ulxrru35e3gssa via multiple public gateways Pinata,...