Amsi-Bypass-Powershell

Sponsored by Amsi-Bypass-Powershell Этот репозиторий содержит некоторые методы обхода/избегания Antimalware Scan Interface AMSI, которые я нашел в разных постах блогов. Большинство скриптов обнаруживаются самим AMSI. Поэтому вам нужно найти триггер и изменить сигнатуру в соответствующей части с...

injectAmsiBypass

Cobalt Strike BOF - Инжектирование обхода AMSI Файл объекта Beacon BOF для Cobalt Strike, который обходит AMSI в удалённом процессе с инъекцией кода. Запуск inject-amsiBypass BOF из CobaltStrike Что это делает? 1. Используем переданный аргумент PID для получения дескриптора удалённого процесса...

ExecuteAssembly

Описание: ExecuteAssembly — это альтернатива CS execute-assembly, написанная на C/C++, и может использоваться для загрузки/внедрения .NET-сборок путём: повторного использования загруженных модулей CLR/AppDomainManager процесса-хоста spawnto, затирания заголовков PE DOS загрузчика/.NET-сборки,...

CheeseTools

CheeseTools Этот репозиторий был создан на основе уже существующего MiscTool, поэтому огромное спасибо rasta-mouse за их публикацию и за то, что дал мне правильную мотивацию для работы над ними. CheeseExec Выполнение команд / Lateral movement через функциональность, подобную PsExec. Должен...

GRAT2

GRAT2 C2 root@kitploit: c.-.c c.-.c c.-.c c.-.c c.-.c / .. \ / .. \ / .. \ / .. \ / .. \ \ Y / \ Y / \ Y / \ Y / \ Y / .-/'-'-..-/'-'-..-/'-'-..-/'-'-..-/'-'-. || G || || R || || A || || T || || 2 || .' -' '. .' -' '. .' -' '. .' -' '. .' -' '. .-./-'.-..-./-.-..-./-'.-..-./-'.-..-./-'.-...

LightsOut

LightsOut LightsOut создает обфусцированную DLL, которая отключает AMSI и ETW, пытаясь обойти антивирусы. Это достигается рандомизацией всех используемых функций WinAPI, XOR-кодированием строк и применением базовых проверок на песочницу. Mingw-w64 используется для компиляции обфусцированного C-ко...

Rusty-Playground

Rusty-Playground 🦀 オフェンシブセキュリティと回避技術を示す Rust プログラム集 ツール| 説明| 参照 ---|---|--- ClipboardMon| クリップボードの変更を監視し、検出された変更に応じてクリップボードの内容を記録するか、ファイルをコピーします。| - DumpMDEConfig| Microsoft Defender を列挙して、システム上で有効な除外パス、許可された脅威、保護履歴、ASR（攻撃面の縮小）ルールを特定します。管理者権限は不要です。| 出典 ElevateToken|...

Chimera

Chimera — это блестящий и очень хакерский скрипт обфускации для PowerShell, разработанный для обхода AMSI и антивирусных решений. Он переваривает вредоносные PS1-файлы, которые, как известно, срабатывают у антивирусов, и использует подстановку строк и конкатенацию переменных для обхода типичных...

PowerShx

SharpShx Неуправляемое выполнение PowerShell с использованием DLL или автономного исполняемого файла. Введение PowerShx — это переработка и расширение проекта PowerShdll. PowerShx предоставляет функции для обхода AMSI и выполнения PS-командлетов. Возможности Запуск PowerShell с DLL через...

InlineExecute-Assembly

InlineExecute-Assembly InlineExecute-Assembly — это доказательство концепции Beacon Object File BOF, которое позволяет специалистам по безопасности выполнять .NET сборки в рамках процесса, как альтернатива традиционному модулю execute-assembly Cobalt Strike, работающему через fork and run...

mora-hwbp

Mora-HWBP — ハードウェアブレークポイントによるAMSI / WLDP / ETWテレメトリフック メモリ内コードパッチの代替として、ハードウェアブレークポイント（CPUデバッグレジスタ）ベースの関数フックを実証するセキュリティリサーチ用Proof-of-Concept（POC）。 目的と範囲 このリポジトリは、防御的なセキュリティリサーチ、レッドチーム/パープルチーム教育、検知エンジニアリング、およびWindows内部構造の学術研究...

Invisi-Shell

Invisi-Shell 将你的 PowerShell 脚本置于明处而不被发现！Invisi-Shell 通过挂钩 .Net 程序集，绕过了 PowerShell 的所有安全特性（ScriptBlock 日志记录、模块日志记录、转录、AMSI）。该挂钩通过 CLR Profiler API 实现。 工作进展 这仍是一个旨在作为概念验证的初步版本。该代码仅适用于 x64 进程，并已在 PowerShell V5.1 上测试。 使用说明 将 /x64/Release/ 文件夹中编译好的 InvisiShellProfiler.dll...

SharpBlock

SharpBlock Метод обхода активных DLL проецирования EDR путем предотвращения выполнения точки входа. Возможности Блокирует выполнение точки входа DLL EDR, что предотвращает установку хуков EDR. Беспатчевый обход AMSI, не обнаруживаемый сканерами, ищущими исправления кода Amsi.dll во время...

donut

현재 버전: v1.1 목차 1. 소개 2. 작동 방식 3. 빌드 4. 사용법 5. 하위 프로젝트 6. Donut을 이용한 개발 7. 질문 및 토론 8. 면책 조항 1. 소개 Donut 은 VBScript, JScript, EXE, DLL 파일 및 dotNET 어셈블리를 메모리에서 실행할 수 있게 해주는 위치 독립적 코드입니다. Donut으로 생성된 모듈은 HTTP 서버에서 스테이징하거나 로더 자체에 직접 포함시킬 수 있습니다. 모듈은 선택적으로 Chaskey 블록 암호와 128비트 무작위 생성 키를 사용하여 암호화됩니다. 파일...

TALKINGEBN

|-------------------| TALKINGBEN : --- マシン上で特権昇格を最初に実行するBootKitマルウェア。 NtTraceEventとAMSI（メモリバッファスキャナ）へのパッチ適用を使用して、Windows Defenderをバイパスし、検出されることなくペイロードを読み込みます。 次に、間接システムコールを使用してペイロードをメモリに書き込み、EDRやAVを回避しながら実行し、その後特権昇格を獲得します（おそらくトークン操作を使用して実装される予定です）。...

AMSIext

AMSIext AMSIext는 브라우저의 모든 데이터 스트림을 AMSI로 보낼 수 있는 Firefox 및 Chrome 플러그인입니다. AMSI는 RAM 메모리를 Windows Defender또는 기타 엔드포인트 보안 시스템와 통신하는 방법입니다. 즉, 웹을 탐색하는 동안 AMSIext는 악성 JavaScript, PowerShell 또는 무엇이든 시스템에서 실행되거나 다운로드되기 전에 경고합니다! AMSI는 Windows 10에서 메모리의 데이터를 선호하는 AV 솔루션으로 보내는 기본 방식입니다. PowerShell 및 곧...

GoAround

GoAround Инструмент для генерации обходов AMSI и автоматической обфускации PowerShell-скриптов с использованием трёх различных методов обфускации. GoAround распространяется под лицензией MIT. Подробнее см. в LICENSE. GoAround Отказ от ответственности Установка Руководство пользователя Как...

CTT-MICROSOFT-OFFICE-OLE-MANIFOLD-BYPASS-CVE-2026-21509

🏛️CTT -Microsoft Office OLE Manifold BYPASS CVE-2026-21509 1096x 時間実行のための標準化 CTT 実装 ! 📜 脆弱性の概要 CVE-2026-21509 は、Microsoft Office の OLE Object Linking and Embedding 検証エンジンにおける重大なバイパスです。標準的な「ラミナー」エクスプロイトは静的 COM オブジェクトの操作を試みますが、このリポジトリは Theorem 4.2 を利用して、オブジェクト定義ルール ODR の投機的レースコンディションバイパスを実現します。 🕰️...

AMSI-ETW-Patch

AMSI-ETW-Patch 이 저장소에는 AMSI와 ETW를 단일 바이트 패치로 패치하는 방법에 대한 정보가 포함되어 있습니다. 패치 자체가 단일 바이트이므로 패치 자체의 탐지를 제한하는 것이 아이디어였습니다. AMSI patch-amsi-x64.c 핵심은 AMSI가 중요한 AMSI "검사" 코드에 도달하기 전에 많은 유효성 검사를 수행한다는 것입니다. jz 하나를 jnz로, 그 반대로 간단히 토글할 수 있습니다. 위 그림의 빨간 화살표는 중요한 코드가 위치한 곳을 나타냅니다. 중요한 코드를 호출하지 않도록 토글할 수 있는 검...

Amsi-Killer

Lifetime AMSI 우회 Opcode Scan 우리는 각 명령어의 첫 번째 바이트를 검색하여 점프 명령어의 정확한 주소를 얻습니다. 이 기술은 대상 데이터 세트가 업데이트되거나 수정되더라도 효과적입니다. 예를 들어 : | 48:85D2 | test rdx, rdx | | 74 3F | je amsi.7FFAE957C694 | | 48 : 85C9 | test rcx, rcx | | 74 3A | je amsi.7FFAE957C694 | | 48 : 8379 08 00 | cmp qword ptr ds : rcx + 8 ,...