pe-sieve

Intro PE-sieve is a tool that helps to detect malware running on the system, as well as to collect the potentially malicious material for further analysis. Recognizes and dumps variety of implants within the scanned process: replaced/injected PEs, shellcodes, hooks, and other in-memory patches...

HellHall

HellsHall - 获取干净系统调用的另一种方式 HellsHall 是 HellsGate 与间接系统调用的结合。 工作原理 首先，HellsHall 检查 系统调用地址 是否被挂钩，并通过检查是否存在以下字节来尝试获取系统调用编号： 0x4C, 0x8B, 0xD1, 0xB8 分别代表 mov r10,rcx && mov eax,SSn。这是每个系统调用应有的起始方式。 此时，HellsGate 只是获取系统调用 SSn（系统调用编号）并直接 使用它，导致系统调用从 ntdll.dll 地址空间之外被调用。这本身就是一个 IoC（入侵指标），可用于检测此类系统调用。检测示例：...