Chrome-App-Bound-Encryption-Decryption

ChromElevator Chrome App-Bound Encryption Decryption 🚀 概述 一个后渗透利用工具，演示了如何完整地在内存中绕过 Chromium 的 应用绑定加密（App-Bound Encryption, ABE） 。本项目利用 基于直接系统调用（Direct Syscall）的反射式进程镂空（Reflective Process Hollowing） 来以挂起状态启动一个合法的浏览器进程，隐蔽地注入载荷以劫持其身份和安全上下文。这种 白加黑（Living-off-the-Land, LOTL）...

HellHall

HellsHall - 获取干净系统调用的另一种方式 HellsHall 是 HellsGate 与间接系统调用的结合。 工作原理 首先，HellsHall 检查 系统调用地址 是否被挂钩，并通过检查是否存在以下字节来尝试获取系统调用编号： 0x4C, 0x8B, 0xD1, 0xB8 分别代表 mov r10,rcx && mov eax,SSn。这是每个系统调用应有的起始方式。 此时，HellsGate 只是获取系统调用 SSn（系统调用编号）并直接 使用它，导致系统调用从 ntdll.dll 地址空间之外被调用。这本身就是一个 IoC（入侵指标），可用于检测此类系统调用。检测示例：...

Hunt-Weird-Syscalls

Hunt-Weird-Syscalls 这是一个基于 ETW 的 POC，用于监控异常系统调用（syscall）。 目前，监控 NtOpenThread 和 NtSetContextThread 这两个系统调用，以识别表明直接 和间接 系统调用的 IOC。 描述 该项目使用 ETW，更准确地说是基于内核的 ETW 提供程序，来监控 IOC。 内核中的 ETW 提供程序可以被有效利用，因为所发出事件的调用跟踪（calltrace）包含执行系统调用时的用户态地址。 这样可以监控表明直接和间接系统调用的 IOC，这是一种常被威胁行为者利用的技术： 1:...

CrimsonEDR - Simulate The Behavior Of AV/EDR For Malware Development Training

CrimsonEDR is an open-source project engineered to identify specific malware patterns, offering a tool for honing skills in circumventing Endpoint Detection and Response EDR. By leveraging diverse detection methods, it empowers users to deepen their understanding of security evasion tactics...