PythonMemoryModule

PythonMemoryModule 纯Python实现的MemoryModule技术，可完全从内存加载dll或非托管exe "Python memory module" AI生成图片 - hotpot.ai 这是什么 PythonMemoryModule是Joachim Bauch原创的MemoryModule技术的Python ctypes移植版。它可以使用Python加载dll或非托管exe，无需外部库（pyd），并（部分）支持命令行参数传递。...

TelemetrySourcerer

Telemetry Sourcerer はじめに Telemetry Sourcerer は、Windows の AV/EDR で使用される一般的なテレメトリソースを列挙および無効化できます。 レッドチームやセキュリティ愛好家は、このツールをラボ環境で使用して、以下のことができます： 対象製品における収集ベースのブラインドスポットを特定する。 特定の種類のイベントを生成するテレメトリソースを特定する。 ツールの改ざん機能を使用することで検出につながるかどうかを検証する。 プライベートラボの構築の詳細については、EDRテレメトリをプライベートインフラストラクチャに転送する...

RustyWater-ShellCode-Dropper

RustyWater ShellCode Dropper RustyWater は、Static Kitten グループ攻撃におけるメインペイロードであり、敵対的作戦全体のバックボーンを担っています。 RustyWater は Rust でコンパイルされた実行可能ファイル（偽の Cloudflare アイコンで reddit.exe として偽装）であり、RustyWater（または Archer RAT/RUSTRIC に関連）として知られ、プロセスインジェクションとレジストリベースの持続性を通じて強力な AV/EDR 回避を特徴としています。 1-アンチ分析 Reddit.exe...

VEN0m-Ransomware

VEN0m ランサムウェア https://github.com/user-attachments/assets/5a1fc9b5-a647-41f6-a152-7b9d97381adc このプロジェクトは、正規で署名されたドライバーを悪用して防御を回避し、実際のサイバー攻撃をシミュレートするランサムウェアを展開する方法を示しています。 🚨 Windows 11 Pro 24H2 でテスト済み。初回リリース日（2026年2月23日）時点では完全に検出されません。 | Evasion| UAC Bypass ---|---|--- BitDefender| ✅| ✅ Kaspersky| ...

Skrull

Skrull Skrull はマルウェアDRMであり、AV/EDRによる自動サンプル提出やカーネルからのシグネチャスキャンを防ぎます。Process Ghosting 技術を用いて、被害者上でマルウェアを実行できるランチャーを生成します。また、ランチャーは完全にコピー防止されており、提出されると自然に壊れます。 これはROOTCON & HITCON 2021での講演の概念実証です。以下をチェックしてください: Skrull Like A King: From File Unlink to Persistence および Skrull Like A King：從重兵看守的天眼防線殺出重圍...

UnhookMe

UnhookMe - 動的にフックを解除するインポートリゾルバ 侵入的なAVやEDRが、強化された可視性要件のために実行中のプロセスにホットパッチを導入する時代において、現代の攻撃者はこれらの監視をすり抜けるための堅牢なツールを必要としています。使用中の関数をその場でフック解除できる動的インポートリゾルバの提案実装は、攻撃者のレジリエンス強化に向けたさらなる一歩です。 ここで提案するソリューションは、リンカ解決型のWinAPIインポート（コンパイルされた実行可能ファイルのPEヘッダ、特にImport Address...

ShellGhost

ShellGhost 一种基于内存的规避技术，使 shellcode 从进程开始到结束均不可见。 动机 我想分享这个 shellcode 自注入 POC，以展示一些可能对红队有用的 AV/EDR 规避概念。就在几周前，我想出了一种自定义的内存规避技术，我称之为 ShellGhost。这项技术源于对 一段从进程开始到结束执行‘不可见’ shellcode 的代码 的需求。 处理线程执行流 ShellGhost 依赖于向量异常处理与软件断点的结合 ，以循环方式停止线程执行，用 RC4 加密的 shellcode 指令替换已执行的断点，解密指令，并在恢复内存保护至 RX 后恢复执行。当后续的...

SysWhispers4

SysWhispers4 通过直接和间接系统调用实现 AV/EDR 规避 Windows NT 3.1 至 Windows 11 24H2 · x64 · x86 · WoW64 · ARM64 SysWhispers4 是一个基于 Python 的系统调用存根生成器，可生成 C/ASM 代码，直接调用 NT 内核函数，绕过 AV/EDR 产品在 ntdll.dll 上放置的用户态挂钩。 它继承了 SysWhispers → SysWhispers2 → SysWhispers3 的演进脉络，这一版本新增了迄今最全面的 SSN 解析策略、调用方法和规避能力。 演进：SysWhispers...

blindsight

blindsight “根本不存在什么适者生存。 或许只是最合适者生存。 解决方案是否最优并不重要。 重要的是它能否胜过替代方案。” —— 彼得·沃茨，《盲视》（2006） 用于转储 LSASS 内存、绕过基本防护措施的红队工具。它利用事务性 NTFS（TxF API）透明地打乱内存转储内容，以避免触发 AV/EDR/XDR。 文章 https://hnsecurity.it/blog/an-offensive-rust-encore 另请参阅 https://attack.mitre.org/techniques/T1003/001/...

RefleXXion

Introduzione RefleXXion è un'utilità progettata per aiutare a bypassare gli hook in modalità utente utilizzati da AV/EPP/EDR ecc. Per bypassare gli hook in modalità utente, prima raccoglie i numeri di syscall di NtOpenFile, NtCreateSection, NtOpenSection e NtMapViewOfSection trovati nell'array...

DllNotificationInjection - A POC Of A New "Threadless" Process Injection Technique That Works By Utilizing The Concept Of DLL Notification Callbacks In Local And Remote Processes

DllNotificationInection is a POC of a new “threadless” process injection technique that works by utilizing the concept of DLL Notification Callbacks in local and remote processes. An accompanying blog post with more details is available here: https://shorsec.io/blog/dll-notification-injection/ Ho...

Killer - Is A Tool Created To Evade AVs And EDRs Or Security Tools

It's a AV/EDR Evasion tool created to bypass security tools for learning, until now the tool is FUD. Features: Module Stomping for Memory scanning evasion DLL Unhooking by fresh ntdll copy IAT Hiding and Obfuscation & API Unhooking ETW Patchnig for bypassing some security controls Included sandbo...

Codecepticon - .NET Application That Allows You To Obfuscate C#, VBA/VB6 (Macros), And PowerShell Source Code

Codecepticon is a .NET application that allows you to obfuscate C, VBA/VB6 macros, and PowerShell source code, and is developed for offensive security engagements such as Red/Purple Teams. What separates Codecepticon from other obfuscators is that it targets the source code rather than the compil...

SysWhispers - AV/EDR Evasion Via Direct System Calls

SysWhispers helps with evasion by generating header/ASM files implants can use to make direct system calls. All core syscalls are supported from Windows XP to 10. Example generated files available in example-output/. Introduction Various security products place hooks in user-mode APIs which allow...