SCShell

SCShell SCShell은 ChangeServiceConfigA를 사용하여 명령을 실행하는 파일리스 측면 이동 도구입니다. 이 도구의 장점은 SMB에 대해 인증을 수행하지 않는다는 점입니다. 모든 통신은 DCERPC를 통해 이루어집니다. 이 유틸리티는 원격으로 서비스를 등록하거나 생성하지 않고 사용할 수 있습니다. 또한 원격 시스템에 파일을 드롭할 필요가 없습니다 사용된 실행 기술에 따라 다름. 작동 방식 서비스를 생성하는 대신 ChangeServiceConfigA API를 통해 원격으로 서비스를 열고 바이너리 경로 이름을...

Ladon

Ladon 大規模イントラネット侵入スキャナー Cobalt Strikeプラグインメモリロード プログラム概要 Ladonは大規模イントラネット侵入スキャナー\ドメイン侵入\横移動ツールであり、PowerShellモジュール、Cobalt...

NimExec

NimExec 기본적으로 NimExec는 SCMRService Control Manager Remote Protocol을 사용하는 파일리스 원격 명령 실행 도구입니다. LocalSystem이 실행하는 무작위 또는 지정된 서비스의 바이너리 경로를 변경하여 대상에서 주어진 명령을 실행한 후, WinAPI 호출 대신 수제작된 RPC 패킷을 통해 나중에 복원합니다. 이러한 패킷은 SMB2와 svcctl 명명된 파이프를 통해 전송됩니다. NimExec는 대상 머신에 인증하기 위해 NTLM 해시가 필요하며, 수제작된 패킷을 통해 NTLM...

DuplexSpyCS

DuplexSpy DuplexSpyCS（CSはCSharpの略）は、C/SベースのオープンソースRATです。 継続的に更新中: Branch-Version2.1.0 ドキュメント オンラインドキュメントはこちら: DuplexSpy ファイルレス実行 DLLおよびシェルコードインジェクターとローダー リモートプラグイン プロキシ はじめに DuplexSpyは、攻撃的なセキュリティ技術を学ぶためのオープンソースのWindows RATです。...

Flerken

Flerken 소개 명령줄 난독화CLOB 는 파일리스 악성코드나 "Living off the Land" 방식의 공격자에게 무시할 수 없는 요소임이 입증되었습니다. 실제로 수십 개의 난독화 도구가 존재하는 반면, 이에 대한 적절한 대응 도구는 거의 찾아보기 어렵습니다. 이 발표에서는 WindowsPowershell 및 CMD와 LinuxBash 명령어 모두에서 작동하는 난독화 탐지 접근 방식인 Flerken을 소개합니다. 현재까지 알려진 바로는, Flerken이 크로스 플랫폼 난독화 탐지 기능을 지원하는 첫 번째 솔루션입니다. ...

DCOMIllusionist

🎩✨🪄 DCOMIllusionist Windows ファイルレス横移動テクニック。 はじめに • ビルド • 使い方 • 技術詳細 • 謝辞 はじめに このツールは、管理者権限を持っている場合にWindowsマシン上でリモートコード実行を可能にします。DCOMと、受信したオブジェクトを自動的にデシリアライズする.NET DCOMサーバーの動作を活用します。これにより、ディスクに書き込むことなく任意のコマンドを実行したりDLLをロードしたりすることが可能になります。 当初はJames...

cookie-monster

Cookie-Monster-BOF BOF를 통해 Edge, Chrome, Firefox의 브라우저 쿠키를 탈취하세요! Cookie Monster BOF는 Edge와 Chrome의 WebKit Master Key와 App Bound Encryption Key를 추출하고, Cookies 및 Login Data 파일에 대한 핸들을 가진 브라우저 프로세스를 찾은 다음, 해당 핸들을 복사하고 대상 파일을 파일리스fileless 방식으로 다운로드합니다. Cookies/Login Data 파일이 다운로드되면, 파이썬 복호화 스크립트를 사용...

WMEye

WMEye WMEye는 Windows WMI를 탐색하는 과정에서 개발된 실험적인 도구입니다. 이 도구는 WMI와 원격 MSBuild 실행을 사용하여 측면 이동Lateral Movement을 수행하기 위해 개발되었습니다. 인코딩/암호화된 셸코드를 원격 대상의 WMI 클래스 속성에 업로드하고, 트리거될 때 LogFileEventConsumer라는 특수 WMI 클래스를 사용하여 MSBuild 기반 페이로드를 작성하는 이벤트 필터를 생성한 후, 마지막으로 페이로드를 원격으로 실행합니다. 사용 사례 WMI를 사용한 파일리스 측면...

YAMA-dev

YAMA 악성코드 탐지를 위한 또 다른 메모리 분석기 개념 YAMA는 침해 대응 시 특정 악성코드를 검사할 수 있는 스캐너를 생성하는 시스템입니다. YAMA에 의해 생성된 스캐너는 Windows OS의 메모리를 탐색하여 악성코드를 탐지하도록 설계되었습니다. 메모리에만 배포되는 파일리스 악성코드가 증가함에 따라 YAMA는 이러한 악성코드를 탐지하여 침해 사고 처리 시 신속한 대응을 촉진하는 것을 목표로 합니다. 기능 단일 바이너리로 작동하는 스캐너 생성 YARA 규칙 및 메모리 정보를 사용하여 악성코드 탐지 사용자 정의 YARA...

FilelessPELoader

FilelessPELoader リモートのAES暗号化PEをメモリに読み込み、復号して実行します 使い方 : 参考 : https://github.com/aplyc1a/PEMemoryLoader?fbclid=IwAR2-VAQo8pJU-tdbSENjhDBdDGi5tyzrnW1S3D9BPAYR6C6-RK4hsEDjDGk 要件 1. hashlib 2. pycryptodome 3. pycryptodomex...

tracee

Before moving on, please consider giving us a GitHub star ⭐️. Thank you! About Tracee Tracee is a runtime security and observability tool that helps you understand how your system and applications behave. It is using eBPF technology to tap into your system and expose that information as events tha...

Villain

Villain 목적 Villain은 여러 개의 역방향 TCP 및 HoaxShell 기반 셸을 처리하고, 추가 기능명령, 유틸리티으로 기능을 향상시키며, 연결된 형제 서버다른 시스템에서 실행 중인 Villain 인스턴스 간에 공유할 수 있는 고급 Stage 0/1 C2 프레임워크입니다. 프레임워크의 주요 기능은 다음과 같습니다: 기본, 사용자 정의 및/또는 사용자 정의 페이로드 템플릿을 기반으로 한 페이로드 생성 Windows 및 Linux, 동적으로 참여하는 유사 셸 프롬프트로 셸 세션 간 빠른 전환, HTTP를 통한 파일...

PE-Obfuscator

PE-Obfuscator Evasionを考慮したPE難読化ツールです。RTCore64ドライバーを読み込むには 管理者権限 が必要です。 ビデオ: https://user-images.githubusercontent.com/123980007/234171901-c1eb735e-ceca-481d-9310-02ba30f6836b.mp4 難読化ツール: root@kitploit: - リモートサーバーからXORされたFileless PEを取得する - ローダーをディスクにドロップする - そのローダーにランダムなセクションを追加する -...

fireELF

fireELF fireELF는 파일 없는 리눅스 악성코드 프레임워크로, 크로스플랫폼이며 사용자가 쉽게 페이로드를 생성하고 관리할 수 있습니다. 기본적으로 'memfdcreate'가 포함되어 있으며, 이는 바이너리가 하드디스크에 닿지 않고 메모리에서 완전히 리눅스 ELF 실행 파일을 실행할 수 있는 새로운 방법입니다. 스크린샷 기능 페이로드 선택 및 빌드 페이로드 축소 기능 페이로드 소스를 pastebin에 업로드하여 페이로드를 단축하는 기능, 그러면 python = 2.7과 호환되는 매우 작은 스테이저를 생성하여 손쉬운 배포가...

LiquidSnake

Liquid Snake Liquid Snake은 디스크에 접촉하지 않고 Windows 시스템에 대한 수평 이동을 수행하기 위한 프로그램입니다. 이 도구는 WMI 이벤트 구독에 의존하여 메모리에서 .NET 어셈블리를 실행하며, .NET 어셈블리는 명명된 파이프에서 셸코드를 수신한 다음 스레드 하이재킹 셸코드 인젝션의 변형을 사용하여 실행합니다. 아래 다이어그램은 데이터 흐름을 설명합니다바라건대: Credits MDSec - WMI Event Subscription - 이 도구는 이 블로그 게시물에 설명된 개념의 구현에 불과하며,...

EDRUnChoker

EDRUnChoker EDRChoker 向けのファイルレスWMI修復ツール — EDRエージェントのネットワーク帯域をほぼゼロにまで絞るQoS悪用（pacer.sys）に対抗します。 root\subscription に永続サブスクリプションを登録します（ディスク上にファイルは残りません）。5秒タイマーが組み込みVBScriptを実行し、ActiveStore と GPO:localhost の WbemContextPolicyStore を使ってQoSポリシーを列挙します（通常のWMI ExecQuery では、New-NetQosPolicy / EDRChoker...

PPLBlade

PPLBlade 메모리 덤프를 난독화하고 디스크에 저장하지 않고 원격 워크스테이션으로 전송할 수 있는 보호된 프로세스 덤퍼 도구입니다. 주요 기능 : 1. PPL 보호 우회 2. 메모리 덤프 파일을 난독화하여 Defender 시그니처 기반 탐지 메커니즘 회피 3. RAW 및 SMB 업로드 방식을 사용하여 디스크에 저장하지 않고 메모리 덤프 업로드 파일리스 덤프 이 도구에서 사용된 기술에 대한 개요는 다음에서 확인할 수 있습니다:...

ICMP-Ghost-A-Fileless-x64-Assembly-C2-Agent

root@kitploit: |\ |\ |\ |\ |\ |\ \ |\ |\ \ \ \ | \ \ \\ \ \ |\ \ \ || \ | \ \ |||\ \ \ \ \ \ \ \ \ \\ \ \ \ \ \ \ \ \ \ \ \ \ \ |\ \ \ \ \ \ \ \\ ||\ \ \ \ \ \ \ |\ \ \ \ \ \ \ \ \ \\ \ \ \ \ \\ \ |||||||\ || ||| ||...

teams-cookies-bof

teams-cookies-bof Teamsのクッキーを盗み取る、ms-teams.exeプロセス内で実行中。関連記事: https://tierzerosecurity.co.nz/2025/11/03/teams-cookies-bof.html 基盤: https://blog.randorisec.fr/ms-teams-access-tokens/. このツールは Cookie-Monster-BOF をベースにしています。 BOFは暗号化キーを抽出し、Cookiesファイルへのハンドルを持つ msedgewebview2.exe...

mortar

Mortar Loader 레드 팀 은폐 기술로 보안 제품의 탐지 및 차단을 우회하고 회피합니다. Mortar Loader는 메모리 스트림 내에서 PE/쉘코드의 암호화 및 복호화를 수행하고 여러 인젝션 기술을 활용하여 실행합니다. Mortar는 최신 안티바이러스 제품과 고급 XDR 솔루션을 우회할 수 있으며, 다음 제품들에 대해 테스트 및 우회가 확인되었습니다: Kaspersky ✔️ ESET AV / EDR ✔️ Malewarebytes ✔️ Mcafee ✔️ Windows defender ✔️ Cylance ✔️...