SharpBlock

SharpBlock エントリポイントの実行を防ぐことで、EDRのアクティブプロジェクションDLLをバイパスする方法。 特徴 EDR DLLのエントリポイント実行をブロックし、EDRフックが配置されるのを防ぎます。 ランタイムでAmsi.dllのコードパッチを検出するスキャナーから検出されない、パッチレスのAMSIバイパス。 ディスク、HTTP、または名前付きパイプ（Cobalt Strike）からロード可能なインプラントPEに置き換えられるホストプロセス。 インプラントプロセスは非表示になり、プロセス空洞化を検出するスキャナーを回避するのに役立ちます。...

Stracciatella

Stracciatella v0.7 C 内からの PowerShell ランスペース（別名 SharpPick 手法）で、AMSI、ETW、スクリプトブロックログ記録を無効化した状態でお届けします。 昨今、PowerShell は以下のような技法により厳重に計装されています： AMSI ETW スクリプトブロックログ記録 トランスクリプトファイル モジュールログ記録 制約付き言語モード CLM...

NyxInvoke

NyxInvoke NyxInvoke は、.NET アセンブリ、PowerShell コマンド/スクリプト、Beacon Object Files BOF、PE ファイルの実行用に設計された多用途の Rust ベースのツールで、Ntdll Unhooking、パッチレス AMSI、ETW バイパス機能を内蔵しています。スタンドアロンの実行ファイルまたは DLL のどちらとしてもコンパイルできます。 特徴 .NET アセンブリの実行 PowerShell コマンドまたはスクリプトの実行 Beacon Object Files BOF の読み込みと実行 PE ファイル EXE の読み込みと...

ExecuteAssembly

説明: ExecuteAssemblyはCSのexecute-assemblyの代替であり、C/C++で構築されています。ホスト（spawnto）プロセスに読み込まれたCLRモジュール/AppDomainManagerの再利用、ローダー/.NETアセンブリのPE DOSヘッダーの隠蔽、.NET関連モジュールのリンク解除、ETW+AMSIのバイパス、NT静的システムコール（x64）によるEDRフックの回避、superfasthashハッシュアルゴリズムを使用したAPIの動的解決によるインポートの隠蔽により、.NETアセンブリを読み込み/インジェクションするために使用できます。...

Fuck-Etw

「⚙️」绕过 ETW 与取消挂钩 Ntdll 绕过事件跟踪 WindowsETW 并取消挂钩 ntdll。 |\ /| | \ /\ \ /|\ /| | /| || /| \ / /| / | | | | | | || | | / / | | | | | | | | | | | || | | | | | | | | | | | | | || | | \ \ | | | | || || | | | || /| / \ | /\ | | | | |/ /|/ // Made by sorahed v1.0 i Hooked Ntdll Base Address :...

PatchlessCLRLoader

PatchlessCLRLoader PatchlessCLRLoader 是 InlineExecute-Assembly 的一个分支，用于加载 .NET 程序集并将输出定向到 mailslot。我将其重写为独立加载器，实现如下： AES 加密载荷 支持无文件载荷 使用硬件断点实现无补丁 AMSI 和 ETW 绕过 备注：目前加载器仅支持在主线程中设置 HWBP。 与传统的修补技术相比，使用硬件断点进行无补丁绕过具有多个优势。首先，它避免了使用 NtProtectVirtualMemory 等广为人知的 API，这些 API...

A Bag of RATs: VenomRAT vs. AsyncRAT

Introduction Remote access tools RATs have long been a favorite tool for cyber attackers, since they enable remote control over compromised systems and facilitate data theft, espionage, and continuous monitoring of victims. Among the well-known RATs are VenomRAT and AsyncRAT. These are open-sourc...

ExecuteAssembly - Load/Inject .NET Assemblies

ExecuteAssembly is an alternative of CS execute-assembly, built with C/C++ and it can be used to Load/Inject .NET assemblies by; reusing the host spawnto process loaded CLR Modules/AppDomainManager, Stomping Loader/.NET assembly PE DOS headers, Unlinking .NET related modules, bypassing ETW+AMSI,...

Execute .net Assembly (x64 only)

This module executes a .NET assembly in memory. It reflectively loads a dll that will host CLR, then it copies the assembly to be executed into memory. Credits for AMSI bypass to Rastamouse @RastaMouse This module requires Metasploit: https://metasploit.com/download Current source:...