RedPersist

RedPersist RedPersist는 C으로 작성된 Windows 지속성 도구입니다. 프로젝트 컴파일 이 프로젝트에서는 아래의 서드파티 라이브러리가 사용됩니다. TaskScheduler https://github.com/dahall/TaskScheduler Fody https://github.com/Fody/Fody Visual Studio 프로젝트를 로드하고 "도구" "NuGet 패키지 관리자" "패키지 관리자 설정"으로 이동합니다. "NuGet 패키지 관리자" "패키지 소스"를 엽니다. Fody 설치...

EDRChoker

EDRChoker EDRChoker는 정책 기반 QoSQuality of Service를 사용하여 EDREndpoint Detection and Response 에이전트에 하드 대역폭 제한스로틀링을 설정하여 항상 시간 초과가 발생하도록 하여 효과적으로 차단합니다. 규칙은 즉시 적용되며 대상이 Windows를 재부팅한 후에도 유지됩니다. EDRChoker는 Windows의 pacer.sys 드라이버에 의존합니다. 명령줄 구문 EDRChoker.exe ListFile의 모든 프로세스 이름에 대한 QoS 정책을 생성합니다 - 각 줄...

RightHand-Persistence

RightHand Persistence CVE-2026-21509에서 영감을 받음 지속성을 위한 C++ COM 컨텍스트 메뉴 핸들러 C++ 및 COM을 사용한 Windows 컨텍스트 메뉴 핸들러의 샘플 구현으로, 은밀한 지속성 기술을 보여줍니다. 사용자 지정 COM 개체를 등록하면 사용자가 Windows 탐색기에서 특정 대상파일, 폴더 또는 배경을 마우스 오른쪽 버튼으로 클릭할 때마다 코드가 실행됩니다. 면책 조항: 이 프로젝트는 교육 및 연구 목적으로만 제공됩니다. 여기에 설명된 기술은 악의적인 목적으로 사용될 수 있습니다...

PIRATE

PIRATE Python 원격 접속 도구 사용법 1- payloader.py를 실행하여 클라이언트 스크립트를 생성하세요 2- pirate.py를 실행하여 서버를 관리하고 연결을 수신하세요 기능 원격 셸 열기 스크린샷 캡처 웹캠 사진 촬영 키로거 실행 Windows 지속성 파일 보내기 및 받기 Windows 메시지박스 열기 사용 예시 페이로드 파일을 생성하세요 pirate.py를 실행하여 연결을 수신 대기하세요 이제 연결을 기다리세요! 연결이 수립되면 피해자 시스템에서 원하는 모든 명령을 실행할 수 있습니다...

Suborner

Suborner: 보이지 않는 계정 위조기 이게 뭐죠? 당신만 알게 될 Windows 계정을 생성하는 간단한 프로그램입니다 : net user 또는 Windows OS 사용자 관리 애플리케이션예: netapi32::netuseradd 없이 보이지 않는 로컬 계정 생성 모든 Windows NT 머신Windows XP 11, Windows Server 2003 2022에서 작동 성공적인 인증 후 RID 하이재킹을 통해 기존 계정활성 또는 비활성을 가장 관리자 권한으로 보이지 않는 머신 계정을 생성하며, 그 생성을 보고하는 성가신...

BlackLotus

BlackLotus BlackLotus は、Windows 向けに特別に設計された革新的な UEFI ブートキットです。内蔵の Secure Boot バイパスと Ring0/カーネル保護を備えており、削除の試みから保護します。このソフトウェアは HTTP ローダーとして機能することを目的としています。堅牢な永続性のおかげで、新しい暗号化方式によるエージェントの頻繁な更新は必要ありません。一度展開されると、従来のアンチウイルスソフトウェアはそれをスキャンして排除できなくなります。ソフトウェアは主に 2...

SharpCovertTube

SharpCovertTube SharpCovertTube는 YouTube에 동영상을 업로드하여 원격으로 Windows 시스템을 제어하도록 만들어진 프로그램입니다. 이 프로그램은 YouTube 채널을 모니터링하다가 동영상이 업로드되면, 해당 동영상의 썸네일에서 QR 코드를 디코딩하여 명령을 실행합니다. 동영상의 QR 코드는 일반 텍스트 또는 AES 암호화된 값을 사용할 수 있습니다. 바이너리 버전과 서비스 바이너리 버전 두 가지가 있으며, 악성 동영상을 생성하는 Python 스크립트도 포함되어 있습니다. 이 도구의 목적은...

SharpStay

SharpStay - .NET 지속성 빌드 컴파일하려면 Visual Studio 프로젝트를 열고 릴리스용으로 컴파일하세요. 옵션 상승된 레지스트리 키 상승된 UserInit 레지스트리 키 상승된 예약 작업 상승된 서비스 생성 상승된 WMI 이벤트 구독 비상승 InitMprLogonScript 레지스트리 키 비상승 예약 작업 COM 핸들러 하이재킹 비상승 정션 폴더 기타 예약 작업 동작 추가 기타 시작 디렉터리 기타 새 LNK 기타 백도어 LNK 기타 작업 이름 기타 예약 작업 나열 기타 실행 중인 서비스 나열 기타 예약 작업...

persistence-info.github.io

이 저장소는 보호/탐지를 더 효율적으로 만들기 위해 Windows 지속성 메커니즘에 대한 정보를 수집하려고 합니다. 대부분의 정보는 수년간 잘 알려져 있으며 다양한 시나리오에서 활발히 사용되고 있습니다. 더 많은 것이 준비되어 있습니다. 매일 새 항목을 추가하기 위해 최선을 다하고 있습니다. 작동 방식. 그리고 기여 방법. 👨‍💼 HKCU Run 및 RunOnce 레지스트리 키 👨‍💼 ⚙ 작업 스케줄러 ⚙ 이미지 파일 실행 옵션 키 ⚙ Windows 서비스 AeDebug WER 디버거 ⚙ Natural Language...

SharPersist

SharPersist C으로 작성된 Windows 지속성persistence 툴킷입니다. 각 기법에 대한 자세한 사용법은Wiki를 참조하세요. 작성자 - Brett Hawkins @h4wkst3r 릴리스 SharPersist 공개 버전 1.0.1은 Releases 섹션에서 확인할 수 있습니다. 설치/빌드 사전 컴파일된 버전 Releases 섹션에 있는 사전 컴파일된 바이너리를 사용하세요. 직접 빌드 프로젝트를 직접 컴파일하려면 아래 단계에 따라 Visual Studio를 설정하세요. 이를 위해 NuGet 패키지 관리자에서 설치...

hermes-the-messenger

메신저 헤르메스 Windows에서 푸시 알림을 통한 지속성persistence 확보를 위한 PoC 더 자세한 기술적 세부 사항과 배경 내용은 여기 블로그 포스트를 참조하세요: https://www.persistent-security.net/post/beacon-on-demand-abusing-push-notifications-for-persistence 사용법 무엇보다 먼저 Azure를 설정해야 합니다. 그런 다음 푸시 알림에 스스로를 등록하기 위해 실행 파일을 한 번 실행해야 합니다. Azure 앱의 개체 IDobject i...

Malicious code in mfacord (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 6e8426c0e4e80e0bd9839d8517e060bd923775b8a3e100aab57e18b4f47c970e On require'mfacord', index.js loads lib/cache.js, which on win32 decodes a hardcoded URL...

MAL-2026-15557 Malicious code in mfacord (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 6e8426c0e4e80e0bd9839d8517e060bd923775b8a3e100aab57e18b4f47c970e On require'mfacord', index.js loads lib/cache.js, which on win32 decodes a hardcoded URL...

MAL-2026-12468 Malicious code in streak-math-kit (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 6ba4f1a9b23ca375fed98868d8ca488ec722b473060834412b0b1b23f5cae37a [email protected] is advertised as a math primitives library but its index.mjs top-level IIFE bootstrap runs on any import and drops a hex-embedd...

Malicious code in ulid-xyz (npm)

ulid-xyz is a typosquat of the popular ulid library sortable unique IDs and is a cross-platform Remote Access Trojan delivered via a postinstall hook. The package.json postinstall superficially looks like an inline node -e guard that checks for the existence of a dist file, but it actually launch...

Malicious code in theme-color-picker (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector f7a4ba7e8664b9e1d99c4018963a4731d591653d7f2a9b879ba090e7a7f6e7bd Although the package presents itself as a 'theme color picker', package.json identifies the publisher as analysis-chart.io with repository...

Malicious code in web3-token-helper (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 0c826bf782895b60580b94e3a28a2c4562d3742420ce81e9895ad8568da57890 The package advertises itself as a Web3 fee utility but its main export is a dropper. index.js line 140 base64-decodes a platform-specific command...

Malicious code in vitest-pro (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 39810890a1ffc946b3da439738fb619eab1613a775a308d6f248b80b38ce5603 Package vitest-pro is a namespace-abuse lure: its name suggests a vitest extension, but its source tree, README, and main entry lib/nodemailer.js are...

MAL-2026-5862 Malicious code in vitest-pro (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 39810890a1ffc946b3da439738fb619eab1613a775a308d6f248b80b38ce5603 Package vitest-pro is a namespace-abuse lure: its name suggests a vitest extension, but its source tree, README, and main entry lib/nodemailer.js are...

MAL-2026-4347 Malicious code in @devcarron/clob (npm)

A campaign of npm packages sharing a common dropper clob.js that downloads and persistently installs a Windows executable from IPFS on postinstall. The dropper fetches the binary from IPFS CID bafybeif3zkapj364ofnrvbty7oj5h5ufpxlp4s62usk3ulxrru35e3gssa via multiple public gateways Pinata,...