CallStackSpoofer

CallStackSpoofer 该仓库演示了一个 PoC 实现，用于在进行系统调用时伪造任意调用栈。完整的技术分析请参阅随附的博客文章：https://labs.withsecure.com/blog/spoofing-call-stacks-to-confuse-edrs。 默认情况下，它包含三个可供模仿的示例调用栈，可通过提供 --wmi、--rpc 或 --svchost 参数来选择，如下所示： 这些调用栈是通过启用进程访问事件的 SysMon 运行并搜索 lsass 为句柄操作目标的事件而获得的。 注意，作为提醒，此 PoC 已在以下 Windows 版本上测试：...

Payload-Download-Cradles

Payload 下载 Cradle 这些是不同类型的下载 Cradle，旨在激发你去尝试并创建新的下载 Cradle，从而在下载 Cradle 检测的背景下绕过 AV/EPP/EDR。请注意，从下载 Cradle 中移除或混淆签名只是绕过 AV/EPP/EDR 的其中一个环节。根据具体产品的不同，你可能还需要修改由 Cradle 下载的 payload，以绕过 API-Hooking、Callbacks、AMSI 等机制。 感谢 Daniel Bohannon 提供的出色混淆工具，非常感谢 Daniel。...

Dirty-Vanity

Dirty Vanity 一种滥用 Windows fork API 以规避 EDR 的新注入技术的 PoC。 用法 DirtyVanity.exe TARGETPIDTOREFLECT 运行时步骤 分配并将 shellcode 写入 TARGETPIDTOREFLECT 将 TARGETPIDTOREFLECT fork 到一个新进程 将 fork 出的进程的起始地址设置为克隆的 shellcode Shellcode 反射的 shellcode 使用 ntdll API。它由随附的生成项目 shellcodetemplate 生成， 感谢...

Interceptor

Interceptor Autor: @Cerbersec Interceptor es un driver de kernel centrado en alterar soluciones EDR/AV en espacio de kernel mediante el parcheo de callbacks del kernel y el enganchado hooking de IRPs. Interceptor fue creado como parte de unas prácticas en el Red Team de NVISO Security. Las...

CobaltWhispers

CobaltWhispers 作者：@Cerbersec CobaltWhispers 是一款 Aggressor 脚本，利用一组用于 Cobalt Strike 的 Beacon Object File 来执行进程注入、持久化等操作，并借助直接系统调用（direct syscalls）绕过 EDR/AV。 CobaltWhispers 由 SysWhispers2 和 InlineWhispers2 提供支持 CobaltWhispers 基于 StayKit 以及 Hasherezade 和 Forrest Orr 的工作成果。 CobaltWhispers 是在 NVISO...

voidsyscall

voidsyscall 零 WinAPI。所有 NT 原语均在运行时从内存中的 ntdll 解析—— SYSCALL 指令通过 Plan9 汇编桩直接发出，无导入表， 不触碰任何 ntdll 用户态钩子。C2 通过 HTTPS / DNS / ICMP，每条消息 AES-256-GCM 加密。Windows 原生。Linux 构建。macOS 构建。 这不是一个系统调用封装库。这是一个完整的植入框架，其中 每一个操作——从注入代码到读取文件再到注册表持久化—— 都通过启动时从当前 ntdll 导出表解析的原始 Nt 系统调用完成。 二进制中不存在任何 WinAPI 调用。EDR...

HWSyscalls

HWSyscalls Main Contributors Description HWSyscalls is a new method to execute indirect syscalls using 3 main components: Hardware breakpoints and Vectored Exception Handler to control the flow of execution. HalosGate is used to find syscall numbers and addresses. Creating a synthetic trampoline ...

Split

描述 分而治之是一种编程中常用的算法，通过将复杂的问题分解为许多更简单的子问题来解决它。我们可以将这种方法以不同的目标应用于进攻性安全：迷惑 EDR，使其无法跟踪我们的活动，从而阻止它们触发任何警报。这类似于最近在现实攻击中几乎任何钓鱼活动中都能看到的情况：长感染链，逐步运行多个文件（例如 .url - .one - .js - .bat - .dll），而不是直接运行最终载荷。每个被运行的文件都执行一个简单的任务（下载另一个文件、对注册表进行任何更改、在目录之间移动文件或更改其名称/扩展名等），单独来看很难将这些任务标记为恶意，以此来为最终执行准备环境。...

BypassAV

BypassAV 此思维导图列出了绕过杀毒软件和 EDR 的基本技术 提醒：强烈建议阅读与手动技术相关的文章，而不是使用开源工具，因为开源工具更有可能因 IOSs 而被杀毒软件怀疑 预览 编辑 Markdown / HTML 版本 Bypass-AV.md 是使用 MarkMap 制作的。你可以在此处预览它。 你可以使用一些插件来编辑 / 预览它： VSCode VSCode Marketplace - gera2ld.markmap-vscode Open VSX - gera2ld.markmap-vscode Mkdocs markmap/mkdocs-markmap Obsidi...

UnhookingPatch

UnhookingPatch 通过修补 NT API 存根，并在运行时解析 SSN 和系统调用指令，绕过 EDR 钩子 image 如何将二进制文件转换为 MAC 地址？ 要求： 1. macaddress root@kitploit: pip install macaddress ./bin2mac.py calc.bin...

NTDLLReflection

NTDLLReflection 通过基于 Windows ReleaseID 从远程服务器在内存中加载反射式 Ntdll，绕过用户态 EDR 钩子，从而避免打开 ntdll 的句柄，并从导出表触发导出的 API...

plague

plague EDR 的默认检测规则 下面详细列出的检测规则是我在部署或参与任何 EDR 产品时都试图建立的。请根据自身情况考虑关键性和数据集。 查看这篇文章，了解如何实现检测：https://www.goblinloot.net/2023/02/writing-detections-when-stuck-with-edr.html?m=1 篡改传感器或其他安全产品 收集作为安全计划一部分而在端点上使用的所有系统列表。这可以是资产管理、审计或访问控制等。获得列表后，努力理解它们如何与端点交互，以及哪些组件是必需的——无论是 WMI、GPO...

NewPowerDNS

NewPowerDNS NewPowerDNS 是 @domchell 的 PowerDNS 的更新版本。新增的主要功能是支持使用 DNS A 记录传输文件。以下是所做修改的完整列表： 支持通过 DNS A 记录传输 Gzip 压缩以减小文件传输体积 支持传输所有类型的文件 新的 stager，可轻松混淆或逐行运行，以绕过 AV/EDR 的拦截 可选择打印、执行或保存传输的文件 从 python2 更新到 python3 除 python3 外，唯一的依赖项是 scapy。可通过 pip 轻松安装，如下所示： root@kitploit: python3 -m pip install...

Bin-Finder

Descripción Esta herramienta busca los procesos que tienen cargado un binario concreto o los procesos que no lo tienen. Esto es útil en los siguientes escenarios: Permite detectar procesos en los que un dll específico de EDR/AV no está cargado. Esto podría llevar a la detección de excepciones del...

Blackout

Blackout 利用 gmer 驱动程序有效禁用或杀死 EDR 和 AV。 它流畅地绕过 HVCI 样本来源于 loldrivers https://www.loldrivers.io/drivers/7ce8fb06-46eb-4f4f-90d5-5518a6561f15/ 用法 将驱动程序 Blackout.sys 放在与可执行文件相同的路径中 可执行文件应在管理员上下文中运行 Blackout.exe -p 对于 Windows Defender，请保持程序运行以防止服务将其重新启动...

Terminator

Terminator 复现 Spyboy 的技术，即通过滥用 zam64.sys 驱动来终止所有 EDR/XDR/AV 进程 Spyboy 曾以 3,000 美元的价格出售 Terminator 软件 了解更多详情 样本来源于 loldrivers 用法 编译好的版本可以在 此处 找到 将驱动 Terminator.sys 放在与可执行文件相同的路径下 以管理员身份运行该程序 保持程序运行，以防止服务重启反恶意软件 技术细节 该驱动包含某种保护机制，仅允许受信任的进程 ID 发送 IOCTL。如果不将你的进程 ID 添加到受信任列表，你每次都会收到'Access...

NimBlackout

NimBlackout Nota : Este proyecto es solo con fines educativos. El uso de este código para cualquier actividad maliciosa está estrictamente prohibido. No soy responsable de ningún uso indebido de este software. NimBlackout es una adaptación del proyecto @Blackout originalmente desarrollado en C++...

combine_harvester

combine 用这个超棒的工具检查你的 Windows 本地安全机构（LSA）凭据的安全性。 配套的转储解码器 @ https://github.com/ruggi99/combine-decoder 简介 通过重新改编 safetydump rust 库（非常感谢作者！！！），我已经能够轻松绕过大多数 EDR 设置的所有防御措施，除了 Kaspersky EDR 和 TrendMicro（大约几小时前新增的检测）。 直到一年前，带有自定义回调的 dbghelp!MiniDumpWriteDump 还可用于绕过大多数杀毒软件/EDR 解决方案。...

DEFCON-31-Syscalls-Workshop

（间接）直接系统调用：从高层到底层的旅程 RedOps | Red Team Village | DEF CON 31 开始入门 所有的理论 和练习手册 都可以在wiki中找到，它们与准备好的 POC 一起构成了本项目的核心。练习 对应的 POC 可以在此主页 上找到。 祝学习愉快！ Daniel Feichter 免责声明 首先，衷心感谢 我的女朋友，十多年来她一直支持我所做的一切！没有她的支持和帮助，过去十年里我的任何项目都不可能完成。 还要感谢我的好友、AV-Comparatives 的 Andreas Clementi，自从我们第一次见面以来，他一直支持我。也感谢我的朋友 Jon...

Percino

Percino 规避检测的 Golang 加载器 Percino 是一款 Golang 加载器，利用进程镂空技术执行 Shellcode，并采用反沙箱与反分析措施。 Shellcode 使用三重 DES（3DES）加密算法进行加密。 可与任何 C2 框架实现完整的 EDR 绕过。已使用 Cobalt Strike 针对 MDE EDR 进行过测试。 主要特性： 3DES 加密 沙箱规避 分析规避 执行延迟 进程镂空 提示：建议使用 CS 对二进制文件进行签名 CS： MSF：...