RustyWater-ShellCode-Dropper

RustyWater ShellCode Dropper RustyWater는 Static Kitten 그룹 공격에서 주요 페이로드이자 전체 적대적 작전의 핵심을 나타냅니다. RustyWater는 Rust로 컴파일된 실행 파일가짜 Cloudflare 아이콘을 가진 reddit.exe로 위장로, 프로세스 인젝션 및 레지스트리 기반 지속성을 통해 강력한 AV/EDR 회피 기능을 갖춘 것으로 알려져 있습니다RustyWater, 또는 Archer RAT/RUSTRIC와 연관됨. 1-안티 분석 Reddit.exe는 모니터링, 가상화 또는...

blindsight

blindsight 「適者生存」なんてものは存在しない。 おそらく「最も適切な者が生き残る」だけだ。 解決策が最適かどうかは重要ではない。 重要なのは、それが代替案より優れているかどうかだけだ。 -- ピーター・ワッツ、ブラインドサイト 2006 LSASSメモリをダンプし、基本的な対策を回避するレッドチーム用ツールです。 Transactional NTFS（TxF API）を使用してメモリダンプを透過的にスクランブルし、 AV/EDR/XDRをトリガーしないようにします。 記事 https://hnsecurity.it/blog/an-offensive-rust-encore...

TelemetrySourcerer

텔레메트리 소서러 소개 Telemetry Sourcerer는 Windows에서 AV/EDR이 사용하는 일반적인 텔레메트리 소스를 열거하고 비활성화할 수 있습니다. 레드 팀원과 보안 애호가는 연구실 환경에서 이 도구를 사용하여 다음을 수행할 수 있습니다: 상대하는 제품의 수집 기반 사각지대를 식별합니다. 특정 유형의 이벤트를 생성하는 텔레메트리 소스를 확인합니다. 도구의 변조 기능 사용이 탐지로 이어질 수 있는지 검증합니다. 개인 연구실 구축에 대한 자세한 내용은 제 게시물인 EDR 텔레메트리를 개인 인프라로 전환하기를 참고하세...

AV-EDR-Killer

AV/EDR 킬러 https://github.com/user-attachments/assets/1eda3340-2af2-4136-b74e-be7a3f4b3924 이 프로젝트는 합법적이고 서명된 드라이버가 커널 수준 액세스를 얻기 위해 무기화될 수 있는 방법을 보여줍니다. 🚨 취약한 드라이버: wsftprm.sys , TPZ SOLUCOES DIGITAIS LTDA에서 서명했으며, 이전에 CVE-2023-52271로 공개적으로 공개된 로컬 권한 상승 취약점에 노출되었지만, 어째서인지 여전히 Microsoft의 드라이버 차단 목록...

VEN0m-Ransomware

VEN0m 랜섬웨어 https://github.com/user-attachments/assets/5a1fc9b5-a647-41f6-a152-7b9d97381adc 이 프로젝트는 합법적이고 서명된 드라이버가 무기화되어 방어 체계를 우회하고 실제 사이버 공격을 시뮬레이션하는 랜섬웨어를 배포하는 방법을 보여줍니다. 🚨 Windows 11 Pro 24H2에서 테스트 완료. 최초 릴리스 날짜2026-02-23 기준으로 완전히 탐지되지 않습니다. | 우회| UAC 우회 ---|---|--- BitDefender| ✅| ✅ Kaspersk...

hades

소개 Hades 는 현대 AV/EDR에서 일반적으로 사용되는 방어 메커니즘을 우회하는 것을 목표로 여러 회피 기술을 결합한 개념 증명 로더입니다. 사용법 가장 쉬운 방법은 Linux에서 make를 사용하여 프로젝트를 빌드하는 것입니다. git clone https://github.com/f1zm0/hades && cd hades make 그런 다음 실행 파일을 x64 Windows 호스트로 가져와서 .\hades.exe options로 실행하면 됩니다. PS .\hades.exe -h '||' '||' | '||''|...

Shhhloader

Shhhloader Shhhloader는 작업 중인 셸코드 로더입니다. 원시 셸코드를 입력으로 받아 AV/EDR을 우회하기 위해 다양한 작업을 수행하는 C++ 스텁을 컴파일합니다. 포함된 Python 빌더는 Mingw-w64가 설치된 모든 Linux 시스템에서 작동합니다. 1/25/24 업데이트: Shhhloader는 이제PoolParty 변종 7을 지원합니다! 또한 실행된 셸코드가 백업되지 않은 메모리에 상주하지 않도록 PoolParty와 Module Stomping을 결합하는 옵션이 추가되었습니다. 아래에서 Defender...

BadExclusionsNWBO

BadExclusions, 이제 더 나은 OPSEC과 함께 BadExclusionsNWBO는 BadExclusions에서 발전하여 AV/EDR의 폴더 사용자 정의 또는 문서화되지 않은 제외 항목을 식별합니다. 작동 방식 BadExclusionsNWBO는 주어진 경로의 모든 폴더와 하위 폴더에 HookChecker.exe를 복사하여 실행합니다. HookChecker.exe는 BadExclusionsNWBO.exe와 같은 폴더에 있어야 합니다. HookChecker.exe는 EDR 후크의 수를 반환합니다. 후크 수가 7 이하이면...

Skrull

Skrull Skrull은 AV/EDR의 자동 샘플 제출 및 커널의 시그니처 스캐닝을 방지하는 멀웨어 DRM입니다. Process Ghosting 기법을 사용하여 피해자 시스템에서 멀웨어를 실행할 수 있는 런처를 생성합니다. 또한 런처는 완전히 복제 방지되어 있으며 제출 시 자연스럽게 손상됩니다. 이는 ROOTCON 및 HITCON 2021 발표의 개념 증명입니다. Skrull Like A King: From File Unlink to Persistence 및 Skrull Like A King：從重兵看守的天眼防線殺出重圍 를...

UnhookMe

UnhookMe - 동적으로 언후킹하는 임포트 리졸버 침입적 AV와 EDR이 향상된 가시성 요구를 위해 실행 중인 프로세스에 핫 패치를 도입하는 시대에, 현대의 공격자는 이러한 감시 체계를 통과할 강력한 도구가 필요합니다. 사용 중인 함수를 실시간으로 언후킹할 수 있는 동적 임포트 리졸버의 제안된 구현은 공격자의 복원력 강화 노력을 위한 또 하나의 단계입니다. 여기서 제안하는 솔루션은 링커가 해결한 WinAPI 임포트컴파일된 실행 파일의 PE 헤더, 특히 Import Address Table에 표시됨를 사용하는 대신, 임포트를...

inceptor

🚩 이곳은 Inceptor의 공개 저장소입니다. 최신 버전과 업데이트를 원하시면 https://porchetta.industries/ 를 통해 지원해 주시기 바랍니다. 🚩 후원자 이 프로젝트를 후원하고 Inceptor의 최신 업데이트, 수정된 최신 이슈, 최신 기능을 받으시려면 https://porchetta.industries/ 에서 지원해 주세요. 공식 Discord 채널 Discord에서 함께 놀아요! Porchetta Industries 목차 개요 설치 사용법 소식 NW: 현재 템플릿 엔진을 개선하기 위해 작업 중입니다...

ShellGhost

ShellGhost 프로세스 시작부터 종료까지 쉘코드를 보이지 않게 만드는 메모리 기반 회피 기법입니다. 동기 AV/EDR 회피 개념 중 일부를 보여주는 이 쉘코드 셀프 인젝션 POC를 공유하고자 합니다. 이 개념들은 레드 팀 운영에 유용할 수 있습니다. 불과 몇 주 전에 저는 ShellGhost라고 명명한 커스텀 인메모리 회피 기법을 떠올렸습니다. 이 기법은 프로세스 시작부터 끝까지 '보이지 않는' 쉘코드를 실행하는 코드에 대한 필요성에서 비롯되었습니다. 스레드 실행 흐름 처리 ShellGhost는 벡터 예외 처리와 소프트웨...

PythonMemoryModule

PythonMemoryModule MemoryModule 기술의 순수 Python 구현으로, dll 또는 관리되지 않는 exe를 메모리에서 완전히 로드 "Python memory module" AI 생성 이미지 - hotpot.ai 설명 PythonMemoryModule은 원래 Joachim Bauch가 발표한 MemoryModule 기술을 Python ctypes로 포팅한 것입니다. 외부 라이브러리pyd를 사용하지 않고 Python을 통해 dll 또는 관리되지 않는 exe를 로드할 수 있으며, 명령줄 매개변수 전달을 부분적으...

NewPowerDNS

NewPowerDNS NewPowerDNS は、@domchell's の PowerDNS を更新したバージョンです。主な追加機能は、DNS A レコードを使用したファイル転送のサポートです。以下に、行われた変更の完全なリストを示します： DNS A レコードを介した転送のサポート ファイル転送サイズを削減する Gzip 圧縮 あらゆる種類のファイル転送のサポート AV/EDR によるブロックを回避するために、簡単に難読化したり、1行ずつ実行したりできる新しいステージャー 転送されたファイルを印刷、実行、または保存するオプション python2 から python3 へのアップデー...

NimBlackout

NimBlackout 注記 : このプロジェクトは教育目的のみです。このコードを悪意のある活動に使用することは固く禁止されています。本ソフトウェアの誤用について、私は一切の責任を負いません。 NimBlackout は、@ZeroMemoryEx 氏が C++ で開発した @Blackout プロジェクトを移植したものです。このプロジェクトは、gmer（BYOVD）ドライバを使用して AV/EDR を削除します。 このプロジェクトの主な目的は、BYOVD 攻撃がどのように機能するかを理解し、Nim で書かれた有効な PoC を提供することでした。 すべてのクレジットは原作者...

Voidgate

VOIDGATE 説明: AV/EDRメモリスキャナーをバイパスするために使用できるテクニックです。既知で検出されるシェルコード（msfvenomなど）を、個々の暗号化されたアセンブリ命令をオンザフライで復号化することで隠すために使用でき、特定のメモリページに対するメモリスキャナーを無力化します。 仕組み: このテクニックは、暗号化されたアセンブリ命令が格納されるPAGEEXECUTEREADWRITEメモリ領域を作成します。シェルコードはある程度のパディングで囲まれます。プログラムはシェルコードのエントリポイントにハードウェアブレークポイント（HWBP）を設定します。...

RefleXXion

소개 RefleXXion은 AV/EPP/EDR 등에서 사용하는 사용자 모드 후크를 우회하는 데 도움을 주는 유틸리티입니다. 사용자 모드 후크를 우회하기 위해 먼저 LdrpThunkSignature 배열에서 NtOpenFile, NtCreateSection, NtOpenSection 및 NtMapViewOfSection의 시스템 콜 번호를 수집합니다. 그런 다음 사용자가 선택할 수 있는 두 가지 기술이 있습니다. 기술-1은 C:\Windows\System32\ntdll.dll에서 NTDLL을 파일로 읽어옵니다. 파싱 후 메모리에...

SharpBlackout

SharpBlackout BYOVD攻撃を利用してAV/EDRを終了させる 注: このプロジェクトは教育目的のみです。 Sharpblackoutは、@ZeroMemoryExによってC++で開発された@BlackoutプロジェクトをCに移植したものです。gmer（BYOVD）ドライバを使用してAV/EDRを除去します。 Cで作ってみたかっただけです。 ❗️ 重要: これを機能させるには管理者権限が必要です。 ⚠️ 警告: これはバグがある可能性があり、Defenderや他のプログラムを終了させたまま維持できない場合があります。 すべての功績は原作者 @ZeroMemoryEx...

AV-EDR-Lab-Environment-Setup

AV/EDRラボ環境セットアップ 当初はMaldev Academy Discordから取得し、さらにリソースを追加しました。 Notionノート : https://an0nud4y.notion.site/AV-EDR-Lab-Env-Setup-130bc870022d8071935cc682d3eb34b9?pvs=4 有料EDRが持つ特定の機能をエミュレートするために使用できるものの例: SACL - sysmon https://detect.fyi/sysmon-a-viable-alternative-to-edr-44d4fbe5735a?gi=eb4475ea6b3d...

BYOVD-CVE-2023-52271-POC

면책 조항: 이 저장소의 코드는 교육 및 연구 목적으로만 제공됩니다. 소유하지 않거나 테스트할 명시적 권한이 없는 시스템에서 이 코드를 사용하지 마십시오. 이 코드의 부적절한 사용은 현지, 국가 또는 국제 법률을 위반할 수 있습니다. CVE-2023-52271 POC C++로 작성된 CVE-2023-52271 익스플로잇입니다. 이 코드는 취약한 드라이버 wsftprm.sys 커널 드라이버 2.0.0.0을 악용하여, 커널 수준의 액세스로 실행 중인 PPL 프로세스를 종료할 수 있습니다. 주로 AV/EDR 프로세스를 종료하는 데...