APTs-Adversary-Simulation

APT 적대자 시뮬레이션 러시아, 중국, 이란, 북한의 국가 후원 APT 그룹이 사용하는 실제 전술, 기법, 절차TTPs를 기반으로 한 시뮬레이션된 지능형 지속 위협APT 공격의 포괄적인 모음입니다. !CAUTION 중요 공지 : 이 프로젝트는 교육, 연구 및 방어적 보안 목적으로만 엄격하게 사용됩니다. 이러한 기술의 무단 사용은 법률을 위반할 수 있으며 심각한 법적 결과를 초래할 수 있습니다. 🧠 개요 이 저장소는 다양한 중요 분야를 대상으로 하는 상세한 적대자 시뮬레이션 APT 캠페인을 포함합니다. 각 시뮬레이션에는 실제...

BounceBack

BounceBack ↕️🤫 레드팀 작전 보안을 위한 스텔스 리다이렉터입니다. 개요 BounceBack은 C2/피싱/등의 인프라를 블루팀, 샌드박스, 스캐너 등으로부터 숨기기 위한 WAF 기능을 갖춘 강력하고 고도로 사용자 정의 가능한 리버스 프록시입니다. 실시간 트래픽 분석을 다양한 필터와 그 조합을 통해 사용하여 합법적이지 않은 방문자로부터 도구를 숨깁니다. 이 도구는 사전 구성된 차단 단어 목록, 차단 및 허용 IP 주소 목록과 함께 배포됩니다. 도구 사용에 대한 자세한 내용은 프로젝트 위키를 방문하세요. 스폰서 여기에 광고...

ycsm

당신은 나를 볼 수 없습니다 YCSM 이것은 nginx 리버스 프록시와 letsencrypt를 사용하여 복원력 있는 리다이렉터를 위한 빠른 스크립트 설치입니다. 일부 인기 있는 RATSCobalt Strike, Empire, Metasploit와 호환됩니다. HTTPS를 선택하면 letsencrypt certbot을 자동으로 설정하고 리다이렉터 도메인 이름에 대한 유효한 letsencrypt SSL 인증서를 획득하며 생성된 구성을 사용하여 nginx를 시작합니다. 리다이렉터를 사용하면 도메인이 손상된 경우 별도 호스트를 사용하...

DoH_c2_Trigger

DoHc2Trigger 블로그 게시물용 코드: https://outflank.nl/blog/2018/10/25/building-resilient-c2-infrastructues-using-dns-over-https/...

GOXLR-malware-family

이 저장소는 처음에 goxlr.net에서 발견된 악성코드에 대한 제 분석 및 보고서였습니다. 최근에 저는 그들이 다양한 악성코드 변종을 가진 여러 다른 악성코드 도메인도 운영하고 있음을 발견했습니다. 지금까지 발견된 것은 모두 스틸러stealer이며, 모두 "goxlr"의 클론입니다. 그래서 저는 이제 그들의 모든 도메인에서 찾을 수 있는 모든 샘플을 리버스 엔지니어링하고 있습니다. 이 GitHub 저장소는 제 정보의 중심 역할을 합니다. 샘플 1과 2는 goxlr.net에서, 샘플 3은 goxlrapp.com에서 가져온...

fronthunter

FrontHunter FrontHunter는 대규모 도메인 목록을 테스트하여 도메인 프론팅Domain Fronting 후보를 식별하기 위한 도구입니다. 도메인 프론팅? 정말? 알고 있습니다, 알고 있어요… 도메인 프론팅은 꽤 오래된 기술입니다. 하지만 사실, 여러분의 C2 인프라에 포함시킬 또 하나의 기능으로서 여전히 유용합니다. 도메인 측면에서는 아직도 훌륭한 후보들이 많이 남아 있습니다. ; 기능 도메인 프론팅 가능성을 위해 도메인 목록 테스트 더 빠른 처리를 위한 멀티스레드 검사 사용자 지정 가능한 HTTP 요청...

BitLock-Crypto-Research

🛡️ BitLock 프레임워크: 암호바이러스학 및 C2 생태계 PoC 이 저장소는 현대 위협 아키텍처 연구를 위해 설계된 통합 개념 증명PoC을 포함합니다. 이 프로젝트는 타원 곡선 암호화와 안전한 삭제 프로토콜로 보호된 명령 및 제어C2 인프라를 갖춘 파일리스무파일 공격 환경을 시뮬레이션합니다. 🔬 공격 수명 주기 분석 시스템은 전통적인 방어를 회피하고 서버에서 키의 지속성을 보장하도록 설계된 세 가지 주요 모듈의 조정된 실행을 통해 작동합니다. 1. 휘발성 침투 load.py 공격은 Stage 0 스테이저 로 시작됩니다...

GithubC2

GithubC2 Github을 C2 데모로 활용, 무료 API = 무료 C2 인프라 데모 https://user-images.githubusercontent.com/110354855/192076474-3c1884f8-4a59-4944-b0d6-9dc59c7692f0.mp4...

AutoFunkt

AutoFunkt d8888 888 8888888888 888 888 d88888 888 888 888 888 d88P888 888 888 888 888 d88P 888 888 888 888888 .d b. 8888888 888 888 88888b. 888 888 888888 d88P 888 888 888 888 d88 88b 888 888 888 888 "88b 888 .88P 888 d88P 888 888 888 888 888 888 888 888 888 888888K 888 d8888888888 Y88b 888 Y88b...

CVE-2026-33634-Scanner

CVE-2026-33634-Scanner TeamPCP 공급망 공격CVE-2026-33634과 관련된 침해 지표IOC 탐지를 위한 자동화 스캐너 📋 목차 개요 취약점 기능 탐지되는 IOC 설치 사용법 예시 보고서 형식 프로젝트 구조 시스템 요구 사항 기여 라이선스 저자 참고 자료 🎯 개요 CVE-2026-33634-Scanner 는 손상된 채널을 통해 배포되는 여러 소프트웨어 구성 요소에 영향을 미치는 치명적인 취약점인 TeamPCP 공급망 공격과 관련된 침해 지표IOC를 탐지하도록 설계된 보안 도구입니다. 이 도구는 다음을...

Dropper-GCleaner-C2-Infrastructure-Kernel-Driver-PowerShell-Conhost-Payload-Analysis

1. C2 인프라 – 복원력과 중복성을 갖춘 서버 Process Hacker 메모리 분석을 통해 Dropper GCleaner가 C2 통신에 사용하는 포괄적인 도메인 목록이 확인되었습니다. 이러한 도메인은 다양한 플랫폼Scaleway, Render, Replit 등에 호스팅되어 있으며, 이는 견고하고 중복된 인프라를 나타냅니다. 주요 관찰 사항: 호스팅 제공 업체: Scaleway scw.cloud, Render onrender.com, Replit repl.co 등. 도메인: readthedocs.io, rhcloud.com...

Malicious code in date-fmt-utils-helper (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 4ae88f68f30ebd69a595537393ce95c4ce5e543b558572769fa2c608fa1b1b0d The package presents itself as a date-formatting utility, but its index.js is a trivial cover and a source comment explicitly labels the library as a...

New PATCHCORD Backdoor Targets Afghan Telecom and Indian Critical Infrastructure

Afghan telecom providers and South Asian critical infrastructure organizations have emerged as the target of a new ongoing campaign that delivers a previously undocumented backdoor called PATCHCORD. According to Acronis Threat Research Unit TRU, the backdoor is a compiled C/C++ implant delivered ...

Malicious code in @marketfront/baobabtech (npm)

The @marketfront/baobabtech package is part of a 25-package malicious campaign batch-published to the @marketfront npm scope by npm user 'marketfront' [email protected] within a roughly 3-minute window on 2026-07-01. All packages in the campaign were published at version 7.0.0 and use...

MAL-2026-6786 Malicious code in @marketfront/mychatspreloader (npm)

The @marketfront/mychatspreloader package is part of a 25-package malicious campaign batch-published to the @marketfront npm scope by npm user 'marketfront' [email protected] within a roughly 3-minute window on 2026-07-01. All packages in the campaign were published at version 7.0.0 and us...

MAL-2026-6772 Malicious code in @marketfront/customdealsfeed (npm)

The @marketfront/customdealsfeed package is part of a 25-package malicious campaign batch-published to the @marketfront npm scope by npm user 'marketfront' [email protected] within a roughly 3-minute window on 2026-07-01. All packages in the campaign were published at version 7.0.0 and use...

MAL-2026-5164 Malicious code in @emcd-vue/b2b-pay-form (npm)

Part of a coordinated multi-package supply-chain attack impersonating EMCD emcd.io, a legitimate Russian cryptocurrency exchange and mining pool. The attacker registered the @emcd-vue npm scope to distribute multiple malicious packages posing as internal tooling under the "EMCD Platform...

New Lua-based malware “LucidRook” observed in targeted attacks against Taiwanese organizations

Cisco Talos uncovered a cluster of activity we track as UAT-10362 conducting spear-phishing campaigns against Taiwanese non-governmental organizations NGOs and suspected universities to deliver a newly identified malware family, "LucidRook." LucidRook is a sophisticated stager that embeds a Lua...

New Android SpyAgent Malware Uses OCR to Steal Crypto Wallet Recovery Keys

Android device users in South Korea have emerged as a target of a new mobile malware campaign that delivers a new type of threat dubbed SpyAgent. The malware "targets mnemonic keys by scanning for images on your device that might contain them," McAfee Labs researcher SangRyol Ryu said in an...

Living off the land with Bluetooth PAN

TL:DR Bluetooth is enabled by default on the majority of Windows laptops Bluetooth PAN can be used to bridge connections locally between a client laptop and attacking device Attackers can use Microsoft native SSH client to forward out internal network traffic Windows native SSH is accessible to...