NyxInvoke

NyxInvoke O NyxInvoke é uma ferramenta versátil baseada em Rust projetada para executar assemblies .NET, comandos/scripts PowerShell, Beacon Object Files BOFs e arquivos PE, com recursos integrados de unhooking de NtDll, bypass de AMSI e ETW sem patch. Ele pode ser compilado como um executável...

AMSI-ETW-Patch

AMSI-ETW-Patch este repositório contém informações para aplicar patch no AMSI e no ETW usando um patch de um único byte para ambos. A ideia era limitar a detecção do próprio patch, já que é um único byte. AMSI patch-amsi-x64.c A ideia é que o AMSI realiza muitas verificações de validação antes de...

STrace

STrace O rastreador do Steve. Uma reimplementação do hook de syscall do DTrace no Windows. Pense nisto como um hook SSDT compatível com PatchGuard, mas sem truques. Isto não suporta SSSDT APIs win32k, pois as próprias APIs de chamada de sistema do DTrace não suportam esta tabela adicional. As API...

ExecuteAssembly

Descrição: O ExecuteAssembly é uma alternativa ao execute-assembly do CS, construído em C/C++ e pode ser usado para Carregar/Injetar assemblies .NET por meio de; reutilização dos módulos CLR/AppDomainManager carregados pelo processo hospedeiro spawnto, Stomping dos cabeçalhos DOS PE do...

CVE-2021-34486

CVE-2021-34486 Windows Etw LPE apenas testado no Windows 20H2 x64 ed2k://|file|cnwindows10businesseditionsversion20h2updatedmarch2021x64dvdca61aaaa.iso|6074574848|B6741C4E4B09337471B02DC95E953992|/ agradecimentos @yongchuank https://www.pixiepointsecurity.com/blog/advisory-cve-2021-34486.html...

Winshark

Winshark Wireshark प्लगइन जो विंडोज के लिए इवेंट ट्रेसिंग Event Tracing for Windows के साथ काम करता है Microsoft Message Analyzer को सेवानिवृत्त किया जा रहा है और इसके डाउनलोड पैकेज 25 नवंबर 2019 को microsoft.com साइटों से हटा दिए गए थे। Wireshark ने नेटवर्क प्रोटोकॉल विघटनकर्ताओं dissectors की ए...

GRAT2

GRAT2 C2 root@kitploit: c.-.c c.-.c c.-.c c.-.c c.-.c / .. \ / .. \ / .. \ / .. \ / .. \ \ Y / \ Y / \ Y / \ Y / \ Y / .-/'-'-..-/'-'-..-/'-'-..-/'-'-..-/'-'-. || G || || R || || A || || T || || 2 || .' -' '. .' -' '. .' -' '. .' -' '. .' -' '. .-./-'.-..-./-.-..-./-'.-..-./-'.-..-./-'.-...

BOF_ExecuteAssembly

BOF Execute-Assembly Arquivo de Objeto Beacon para Cobalt Strike que executa assemblies .NET no beacon com técnicas de evasão. Visão Geral Arquitetura Principal root@kitploit: ┌──────────────────────────────────────────────────────────────────────────────┐ │ Cobalt Strike Beacon │ │ Parent Proces...

BamboozlEDR

BamboozlEDR Uma ferramenta abrangente de geração de eventos ETW Event Tracing for Windows projetada para fins de teste e pesquisa. O BamboozlEDR possui uma interface TUI e pode gerar eventos de segurança realistas em vários provedores ETW do Windows para testar capacidades de detecção de EDR,...

RPCMon

Uma ferramenta GUI para analisar a comunicação RPC através de Event Tracing for Windows ETW. A ferramenta foi publicada como parte de uma pesquisa sobre comunicação RPC entre o host e um contêiner Windows. Visão Geral O RPCMon pode ajudar pesquisadores a obter uma visão de alto nível sobre a...

TiEtwAgent

TiEtwAgent - Detecção de injeção de processo baseada em ETW Este projeto foi criado para pesquisar, construir e testar diferentes casos de uso de detecção de injeção de memória e técnicas de bypass. O agente utiliza o provedor de rastreamento de eventos Microsoft-Windows-Threat-Intelligence, como...

EtwSessionHijacking

EtwSessionHijacking: Um Poc sobre como bloquear o Procmon de monitorar eventos de rede Demo: https://user-images.githubusercontent.com/111295429/186082150-32ed304b-ba45-42a4-8baa-37dd75246c68.mp4 Baseado em : Problemas de Design de EDRs Modernos: Contornando Soluções Baseadas em ETW...

RpcInvestigator

محقق RPC يرجى قراءة إعلان منشور المدونة. محقق RPC RPCI هو تطبيق واجهة مستخدم .NET/C Windows Forms يوفر واجهة اكتشاف وتحليل متقدمة لنقاط نهاية RPC في Windows. يوفر الأداة واجهة بصرية حول قدرات RPC الأساسية الحالية لمنصة NtApiDotNet، بما في ذلك: تعداد جميع خوادم ALPC RPC النشطة تحليل خوادم RPC من أ...

Sealighter

Sealighter - सुरक्षा अनुसंधान के लिए आसान ETW ट्रेसिंग मैंने इस प्रोजेक्ट को गैर-डेवलपर्स को विंडोज के लिए इवेंट ट्रेसिंग ETW और विंडोज प्रीप्रोसेसर ट्रेसिंग WPP पर शोध में गोता लगाने में मदद करने के लिए बनाया है। विशेषताएँ एक साथ कई ETW और WPP प्रदाताओं की सदस्यता लें बिना प्रारूप जाने स्वचालित...

memhunter

Memhunter Chasse automatisée des malwares résidents en mémoire à grande échelle Ce projet est EN COURS DE DÉVELOPPEMENT. Attendez-vous à des changements de fonctionnalités et des versions binaires dans les semaines à venir. Aperçu Memhunter est un outil capteur de points de terminaison spécialisé...

memhunter

Memhunter Automated hunting of memory resident malware at scale This project is WORK IN PROGRESS. Expect feature changes and binary releases on the upcoming weeks. Overview Memhunter is an endpoint sensor tool that is specialized in detecing resident malware, improving the threat hunter analysis...

QLOG

Atualização Julho de 2022 Começámos o QLOG como uma experiência para aprender mais sobre ETW do Windows. O QLOG fornece registo enriquecido para eventos de criação de processos no Windows. Parámos o desenvolvimento do QLOG porque, entretanto, foram publicadas ferramentas gratuitas que usam ETW pa...

TelemetrySourcerer

Telemetry Sourcerer Introdução O Telemetry Sourcerer pode enumerar e desativar fontes comuns de telemetria usadas por AV/EDR no Windows. Profissionais de equipes vermelhas e entusiastas de segurança podem usar esta ferramenta em um ambiente de laboratório para: Identificar pontos cegos baseados e...

LightsOut

LightsOut LightsOut irá gerar uma DLL ofuscada que desabilitará AMSI & ETW enquanto tenta evadir o AV. Isso é feito randomizando todas as funções WinAPI usadas, codificando strings com XOR e utilizando verificações básicas de sandbox. Mingw-w64 é usado para compilar o código C ofuscado em uma DLL...

SharpBlock

SharpBlock Um método de contornar as DLLs de projeção ativa do EDR impedindo a execução do ponto de entrada. Funcionalidades Bloqueia a execução do ponto de entrada da DLL do EDR, impedindo que os hooks do EDR sejam inseridos. Bypass de AMSI sem patch, indetectável por scanners que procuram por...