Pokemon-Shellcode-Loader

포켓몬 셸코드 로더 하루 종일 hex만 보다가 '\x41'을 꽂아넣는 게 지겹나요? 차라리 Lugia/Charmander를 보고 싶나요? 해결책을 가져왔습니다. @Checkymander가 포켓몬 이름으로 셸코드 로더를 만드는 트윗을 올렸습니다. 블루 팀을 골탕 먹이기에 아주 재미있는 프로젝트인데, POC가 없었습니다! 적어도 제가 마지막으로 확인했을 때는요 참고 1 업데이트된 코드는 제 GitHub에 있습니다: https://github.com/Techryptic/Pokemon-Shellcode-Loader 참고 2...

TamperingSyscalls

TamperingSyscalls TamperingSyscalls는 인자 스푸핑argument spoofing과 syscall 검색syscall retrieval으로 구성된 2부작의 새로운 프로젝트로, 두 가지 모두 EH를 악용하여 EDR을 우회합니다. 이 프로젝트는 직접 syscall에 대한 대안을 제공하기 위해 이 두 프로젝트를 모두 포함합니다. 시스템 콜 변조. 1. 나중에 사용할 전역 EH를 설정합니다. root@kitploit: SetUnhandledExceptionFilter...

Beginners-Guide-to-Obfuscation

탐지 회피: 난독화 초보자 가이드 방어자는 새로운 위협에 대응하기 위해 보안 체계를 끊임없이 적응시키고 있습니다. 우리의 임무는 그들이 시스템을 어떻게 보호할 계획인지 파악하고, 위협으로 식별되지 않도록 회피하는 것입니다. 이 강의는 악성 코드 전달과 탐지 회피의 방법론을 배우는 실습 중심의 수업입니다. 이 워크숍은 Microsoft의 AMSIAntimalware Scan Interface, Windows Defender, ETWEvent Tracing for Windows의 내부 동작을 탐구합니다. Visual BasicVB...

CallMeWin32kDriver

CallMeWin32kDriver 드라이버를 win32k.sys처럼 로드하세요 동기 이 기능은 특정 PUBG 치트 드라이버에서 분석되었습니다. 무엇을 할 수 있나요? 안티 루트킷 도구에 의한 직접 덤프 방지 MmCopyMemory 우회 월드 숨김은 PG를 트리거하지 않습니다 어떻게 탐지하나요? MmCopyMemory를 사용하기 전에 GUI 프로세스를 연결하세요 컴파일 Visual Studio 2022 및 WDK10 llvm-msvc 링크 UnknownCheats에서의 일부 토론...

undetected-chromedriver

undetectedchromedriver https://github.com/ultrafunkamsterdam/undetected-chromedriver Distill Network / Imperva / DataDome / Botprotect.io 같은 안티봇 서비스를 트리거하지 않는 최적화된 Selenium Chromedriver 패치입니다. 드라이버 바이너리를 자동으로 다운로드하고 패치합니다. 현재 Chrome 베타 버전까지 테스트됨 Brave Browser 및 기타 많은 Chromium 기반 브라우저에서도 작동하지만, 무엇...

rebrowser-patches

🪄 Patches for undetectable browser automation This repo contains patches to enhance popular web automation libraries. Specifically, it targets the puppeteer and playwright packages. Some aspects of automation libraries or browser behavior cannot be adjusted through settings or command-line...

JQueryingU

JQueryingU 참고 사항: 기본 클라이언트 측 탐지 코드는 Christian Ludwighttps://jsfiddle.net/ChristianL/AVyND/가 작성했으며, 2016년 APT 29이 사용했습니다. APT 29은 팝업을 POST 요청으로 수정했고, 악성 페이로드를 보내기 전에 사용자 시스템과 클릭한 사용자를 프로파일링하기 위해 컨퍼런스 섀도잉 캠페인 중에 이를 사용했습니다. 코드는 APT 29이 사용한 일반 텍스트 POST 대신 Base64로 인코딩된 가짜 분석 GET 요청을 통해 정보를 전송하도록...

ShellcodeFluctuation

Shellcode Fluctuation PoC 셸코드의 내용을 주기적으로 암호화하고 복호화하여 RW또는 NoAccess와 RX 메모리 보호 상태 사이를 오가도록 만드는 또 다른 인메모리 회피 기법의 PoC 구현체입니다. 셸코드가 RW 또는 NoAccess 메모리 페이지에 상주하면 Moneta나 pe-sieve 같은 스캐너가 이를 추적하거나 덤프하여 분석할 수 없게 됩니다. Intro ThreadStackSpoofer를 릴리스한 후 README의 다음 항목에 대한 질문을 몇 가지 받았습니다. 슬립 전에 Beacon의 메모리 페이...

ThreadlessInject

스레드 없는 프로세스 인젝션 제 Bsides Cymru 2023 발표에서: Needles Without the Thread. 레드 팀 운영자로서, 우리는 항상 블루 팀과 숨바꼭질을 하고 있습니다. 지난 10년 동안 많은 안티바이러스 및 EDR 솔루션은 파일리스fleless 악성코드 활동을 일반적인 방식으로 탐지하는 데 있어 상당히 발전했습니다. 프로세스 인젝션은 다른 프로세스의 주소 공간 내에서 코드를 실행하는 데 사용되는 기술로, 공격 운영자의 도구 상자에서 흔히 사용되는 방법입니다. 일반적으로 대상 워크스테이션에서 이미 실...

CS-MemoryEvasion

MemoryEvasion 레드팀을 위한 Cobalt Strike 메모리 은닉 로더로, x86/x64 스테이저/스테이저리스 페이로드와 프로파일을 지원합니다Windows 7/10, Windows Server 2012에서 테스트됨. 은닉 원리 셸코드가 메모리에 로드되기 전에 Sleep, CreateProcessA, CreateHeap, GetProcessHeap 함수를 후킹합니다. beacon의 프로파일을 위한 새 힙을 생성합니다. beacon이 GetProcessHeap 또는 CreateHeap 함수를 호출하면 새 힙의 핸들을...

-CVE-2024-6095

주요 개선 사항: 1. 무작위 문자열 난독화 : 무작위 문자열 생성을 도입하여 경로를 난독화하여 탐지를 어렵게 만듭니다. 2. 고급 페이로드 : 더 정교한 페이로드와 다양한 난독화 기법을 추가하여 보안 메커니즘을 우회합니다. 3. 사용자 정의 헤더 : 다양한 합법적인 트래픽을 모방하고 추가 난독화 계층을 제공하는 사용자 정의 헤더를 포함합니다. 4. 무작위 지연 : 요청 간 무작위 지연을 도입하여 침입 탐지/방지 시스템IDS/IPS을 트리거하지 않도록 합니다. 5. 향상된 응답 처리 : 응답을 정리하고 성공적인 익스플로잇의 징...

Abused-Legitimate-Services

악용되는 합법적 서비스 합법적인 타사 PaaSPlatform-as-a-Service 제공업체는 점점 더 위협 행위자들에 의해 피싱 및 악성코드 배포에 활용되고 있습니다. 클라우드 인스턴스, 마케팅 플랫폼, CDN콘텐츠 전송 네트워크, 동적 DNS 서버 등의 PaaS 제공업체는 다양한 악성 활동에 무기화되었습니다. 주요 이점 중 하나는 탐지 시스템을 회피하는 데 사용될 수 있다는 점입니다. 이는 확립된 신뢰 수준과 합법적 사용으로 인해 사전 차단될 가능성이 낮아지기 때문입니다. 자세한 분석은 여기 블로그에서 확인하세요:...

FlavorTown

FlavorTown シェルコードを実行するさまざまな方法。 C: VS 2022 の空のプロジェクトを使用して作成/テスト済み。 C: VS 2022 と csc でテスト済み。 MATLAB: MATLAB 2023a を使用してテスト済み。これらのスクリプトは実行に MATLAB が必要です。 使用方法: 使用方法は各ファイルの先頭にコメントとして記載されています。さらに、実行時に十分な引数が渡されたことを確認する基本的なチェックも含まれています。 シェルコード実行の他の方法に関する優れたリソースとして、vx underground の「Evasion - Process...

Anti_suspend

Antisuspend 셸코드를 사용하여 프로세스를 보호하는 예시입니다. 방지 기능: 1프로세스 스레드 동결 디버거에 대한 anti-attach를 사용할 수 있음 2하드웨어 중단점 3디버거로부터 스레드 숨기기 문제: 합법적이지 않은 모듈에서 코드 사용 이로 인해 AV안티바이러스 플래그가 올라갑니다...

CallStackSpoofer

CallStackSpoofer このリポジトリは、システムコールを行う際に任意のコールスタックを偽装する PoC 実装を示しています。完全な技術解説については、付随するブログ記事（https://labs.withsecure.com/blog/spoofing-call-stacks-to-confuse-edrs）を参照してください。 デフォルトでは、模倣する 3 つのサンプルコールスタックが含まれており、以下に示すように --wmi、--rpc、--svchost のいずれかを指定することで選択できます: これらのコールスタックは、プロセスアクセスイベントを有効にした SysMo...

Qemuno

소개 Qemuno는 공격적 운영offensive operations을 위한 휴대용 미니멀 에뮬레이션 인프라입니다. 이 프레임워크는 관리자 권한 없이 Red Team 운영을 실행하고 엔드포인트 보안 솔루션의 탐지를 우회하는 데 도움을 주기 위한 것입니다. 이 프레임워크는 다음을 기반으로 합니다: QEMU TinyCore 배포판 Docker 프레임워크 운영은 UI를 통해 수행됩니다: 프레임워크에 파일 다운로드 및 업로드 도구와 상호 작용하고 작업 실행 사용법 프레임워크를 시작하고 사용하려면 배치 파일 하나만 실행하면 됩니다. 단계...

Cronos

Cronos 이 프로젝트의 공동 저자 설명 대기 가능한 타이머waitable timer를 활용하여 현재 프로세스를 RC4로 암호화하고 권한을 RW에서 RX로 변경해 메모리 스캐너를 회피하는 새로운 슬립 난독화 기법의 PoC입니다. Ekko 기반 더 자세한 설명은 블로그 게시물에서 확인할 수 있습니다. 사용법...

NimShellcodeFluctuation

NimShellcodeFluctuation 元のリポジトリのNim移植版： https://github.com/mgeeky/ShellcodeFluctuation すべてのコメントは、元のリポジトリからそのままコピー＆ペーストしました。このテクニックを理解するのに非常に役立ったからです。このテクニック自体の詳細については、元のリポジトリのREADMEを読むことを強くお勧めします！ 依存関係のインストール： root@kitploit: nimble install winim ptrmath...

Windows-SignedBinary

다른 해시를 가진 Windows 서명 바이너리 생성 이 아이디어는 "regsvr32.exe"와 같이 알려진 "악성" 서명 애플리케이션을 차단하는 엔드포인트 솔루션을 우회하기 위한 것이었습니다. 유효한 서명된 파일을 다른 해시로 얻을 방법을 찾고 싶었습니다. 분석 signtool verify /v /a cmd.exe 사용 root@kitploit: C:\signchecksigntool verify /a /v cmd.exe Verifying: cmd.exe File is signed in catalog:...

upx-recovery-tool

upx-recovery-tool upx-recovery-tool은 악성코드 제작자가 ELF UPX 압축 파일에 표준 UPX 도구로 자동 언패킹하는 것을 방지하기 위해 수행하는 가장 일반적인 변조를 복구하는 것을 목표로 하는 스크립트입니다. 구현된 UPX 수정 사항 / 기능 이 도구는 다음과 같은 일반적인 변조를 감지하고 복구합니다: linfo 구조체의 lmagic 필드 UPX! 매직 값 pinfo 구조체의 pfilesize 및 pblocksize 필드 오버레이 바이트 의존성 이 스크립트는 requirements.txt에 나열된...