Agent-Tesla-APC-Injection-Token-Manipulation-Registry-Persistence-Analysis

1. API nativa e inyección APC El volcado de memoria de x64dbg revela que Agent Tesla usa llamadas a la API nativa NT API para operaciones de bajo nivel, incluida la inyección APC llamada a procedimiento asíncrono. Funciones clave observadas: NtQueueApcThread – Inyecta código en un hilo de destino...

VectorKernel

VectorKernel 针对内核级rootkit技术研究或教育的PoC。 目前专注于Windows操作系统。 所有模块仅支持x64系列64位操作系统。 环境 所有模块均在Windows 11 x64中测试。 要测试驱动程序，测试机可使用以下选项： 1. 启用加载测试签名驱动程序 2. 设置内核模式调试 每个选项都需要禁用安全启动。 模块 每个项目目录中的README.md提供了详细信息。 所有模块均在Windows 11中测试。 模块名称| 描述 ---|--- BlockImageLoad| 使用加载映像通知回调方法阻止驱动程序加载的PoC。 BlockNewProc|...

DumpBrowserSecrets

DumpBrowserSecrets 从基于Chromium和Gecko的现代浏览器（Chrome、Microsoft Edge、Firefox、Opera、Opera GX和Vivaldi）中提取浏览器存储的数据，例如刷新令牌、Cookie、已保存的凭据、信用卡信息、自动填充条目、浏览历史和书签。 快速链接 Maldev Academy 主页 Maldev 数据库 恶意软件开发课程大纲 攻击性钓鱼操作课程大纲 勒索软件内部原理、模拟与检测课程大纲 工作原理 本项目是 DumpChromeSecrets 的改进版本，同样包含两个组件： 1...

DarkWidow

DarkWidow 一款面向 Windows 的可定制投递工具。 特别鸣谢： 1. BlackHat Asia, 2024 - 工具征集 2. BlackHat USA, 2024 - 工具征集 3. BlackHat SecTor, 2024 - 工具征集 4. BlackHat Europe, 2024 - 工具征集 5. Wild West Hacking Fest 2024 - Arsenal 非常感谢 Soumyadeep Da 即 @SoumyadeepBas12 鼓励我申请这些会议，否则我不会这么做 : 非常感谢 Faran 即 @Chrollol33t...

InjectProc

InjectProc 进程注入是一种非常流行的隐藏恶意代码行为的方法，并被恶意软件作者广泛使用。 有几种常用的技术： DLL注入、进程替换（又名进程空洞）、钩子注入和APC注入。 其中大部分使用相同的Windows API函数： OpenProcess、VirtualAllocEx、WriteProcessMemory，有关这些函数的详细信息，请使用MSDN。 DLL注入： 打开目标进程。 分配空间。 将代码写入远程进程。 执行远程代码。 进程替换： 创建目标进程并挂起它。 从内存中卸载映像。 分配空间。 将头部和节写入远程进程。 恢复远程线程。 钩子注入： 查找/创建进程。 设置钩子。...

Driver-HideKernelThread-IoCancelIrp

Driver-HideKernelThread-IoCancelIrp no es mi código. solo para guardarlo https://bbs.pediy.com/thread-272795.htm Principio Establece la dirección de entrada del hilo en IoCancelIrp y el contexto en el irp que creaste. Entonces el hilo llamará a IoCancelIrp. cuando sea llamado, realizará la...

mortar

Mortar Loader 红队规避技术，用于挫败和转移安全产品的检测与防御。Mortar Loader 在内存流中执行 PE/Shellcode 的加密和解密，并利用多种注入技术执行它。 Mortar 能够绕过现代防病毒产品和高级 XDR 解决方案，并已测试并确认绕过以下产品： Kaspersky ✔️ ESET AV / EDR ✔️ Malewarebytes ✔️ Mcafee ✔️ Windows defender ✔️ Cylance ✔️ TrendMicro ✔️ Bitdefender ✔️ Norton Symantec ✔️ Sophos EDR ✔️ 更新功能...

Sharperner

Sharperner Sharperner 是一款使用 CSharp 编写的工具，用于生成带有 AES 和 XOR 混淆 shellcode 的 .NET 投放器。生成的执行文件可能绕过签名检查，但我不确定它能绕过启发式扫描。 功能 PE 二进制 进程空洞（Process Hollowing） PPID 欺骗（PPID Spoofing） 随机生成的 AES 密钥和 IV 最终的 Shellcode、密钥和 IV 被转换为摩尔斯电码 : .NET 二进制 AES + XOR 加密的 shellcode APC 进程注入 explorer.exe 随机函数名称 随机生成的 AES 密钥和 ...

DumpChromeSecrets

!IMPORTANT 此项目不再维护。请改用DumpBrowserSecrets，它支持 Chrome、Edge、Brave、Firefox、Opera、Opera GX 和 Vivaldi。 DumpChromeSecrets 从现代 Chrome 版本中提取数据，包括刷新令牌、Cookie、已保存的凭据、自动填充数据、浏览历史记录和书签。 快速链接 Maldev Academy 主页 Maldev 数据库 恶意软件开发课程大纲 攻击性钓鱼操作课程大纲 勒索软件内部原理、模拟与检测课程大纲 工作原理 本项目包含两个组件： 1. 可执行文件（DumpChromeSecrets.exe） ...

VortexCry-Ransomware-Release

VortexCry-Ransomware VortexCry es un ransomware avanzado que utiliza inyección de procesos en múltiples etapas como Process Hollowing e inyección APC y carga de controladores de kernel mediante la vulnerabilidad CVE-2019-16098. Es capaz de cifrar archivos, destruir las funcionalidades de...

edrEvasionWorkshop

edrEvasionWorkshop Materiales del taller para “Desarrollo de malware paso a paso: Evadiendo EDR desde loaders hasta el kernel” , presentado en DEF CON 34 y BSidesLV 2026. Este taller explora el desarrollo de malware personalizado, la arquitectura y evasión de EDR, la personalización de C2 y...

SUSE CVE-2026-33633

Kitty is a cross-platform GPU based terminal. Versions 0.46.2 and below contain a heap buffer overflow in loadimagedata that allows any process which can write to the terminal's stdin to crash kitty immediately. The vulnerability is triggered by a single APC graphics protocol command with a PNG...

CVE-2026-63973

In the Linux kernel, the following vulnerability has been resolved: net: mana: Add NULL guards in teardown path to prevent panic on attach failure When queue allocation fails partway through, the error cleanup frees and NULLs apc-txqp and apc-rxqs. Multiple teardown paths such as manaremove,...

EUVD-2026-44821

Sandboxie-Plus is an open source sandbox-based isolation software for Windows. Prior to 1.17.6, GuiServer::WndHookRegisterSlave in Sandboxie/core/svc/GuiServer.cpp stores attacker-supplied hthread and hproc fields from a GUIWNDHOOKREGISTER request without validating that the thread belongs to the...

CVE-2026-45313 Sandboxie-Plus: Sandboxie APC Injection Sandbox Escape

Sandboxie-Plus is an open source sandbox-based isolation software for Windows. Prior to 1.17.6, GuiServer::WndHookRegisterSlave in Sandboxie/core/svc/GuiServer.cpp stores attacker-supplied hthread and hproc fields from a GUIWNDHOOKREGISTER request without validating that the thread belongs to the...

CVE-2026-45313

Summary: Sandboxie-Plus on Windows contains a local privilege escalation in GuiServer.cpp prior to v1.17.6. The GuiServer::WndHookRegisterSlave handler stores attacker-supplied hthread and hproc from GUI_WND_HOOK_REGISTER without validating thread belonging to the sandbox or the function pointer’...

CVE-2026-33633

A flaw was found in Kitty, a cross-platform GPU based terminal. A remote attacker, by sending a specially crafted APC graphics protocol command with a large PNG payload to the terminal's standard input stdin, could trigger a heap buffer overflow in the loadimagedata function. This vulnerability...

UBUNTU-CVE-2026-33633

Kitty is a cross-platform GPU based terminal. Versions 0.46.2 and below contain a heap buffer overflow in loadimagedata that allows any process which can write to the terminal's stdin to crash kitty immediately. The vulnerability is triggered by a single APC graphics protocol command with a PNG...

CVE-2026-33633

Kitty is a cross-platform GPU based terminal. Versions 0.46.2 and below contain a heap buffer overflow in loadimagedata that allows any process which can write to the terminal's stdin to crash kitty immediately. The vulnerability is triggered by a single APC graphics protocol command with a PNG...

CVE-2026-33633

Kitty is a cross-platform GPU based terminal. Versions 0.46.2 and below contain a heap buffer overflow in loadimagedata that allows any process which can write to the terminal's stdin to crash kitty immediately. The vulnerability is triggered by a single APC graphics protocol command with a PNG...