Hunt-Weird-ImageLoads

Hunt-Weird-ImageLoads 该项目用于尝试由 ImageLoad 事件引起的各种 IOC。 它利用 ETW 监控 ImageLoad 事件，并遍历调用栈以识别一些可能的 IOC，例如： 调用栈中的 RWX 页面 调用栈中被 stomp 的模块（stomped module） 模块代理（module proxying）（ntdll - kernel32!LoadLibrary），如 此处 或 此处 所述 专用于加载库的新线程 本仓库中有两个示例程序，分别用于 模块代理 和 专用线程 。 结论 在我的测试中，监控调用栈中的私有或模块 stomped...