ghost

Ghost Ghost 是一款用 Rust 编写的进程注入检测工具。它监视正在运行的进程，并尝试捕获可疑行为，如代码注入、内存操纵以及恶意软件用来隐藏自身的其他伎俩。 它能做什么 核心理念很简单：扫描进程并查找异常内存模式、被挂钩的函数、shellcode 以及其他表明某些东西被篡改的迹象。它支持 Windows、Linux 和 macOS（尽管目前 Windows 支持最为完善）。 它可以检测到的一些东西： 具有读-写-执行权限的内存区域 - 通常是个危险信号 Shellcode 模式 - 注入代码中常见的指令序列 进程镂空 - 合法进程被掏空并替换为恶意代码时 API 钩子 -...

process_overwriting

프로세스 덮어쓰기 프로세스 덮어쓰기는 프로세스 할로잉 및 모듈 오버로딩과 밀접하게 관련된 PE 인젝션 기법입니다. 이 기법을 사용하면 대상 프로세스의 주 실행 파일DLL 제외을 대체할 수 있습니다. 새로 생성된 프로세스에만 작동하며, 이 기법으로 기존 프로세스에 인젝션하는 것은 지원되지 않습니다. 경고: 대상 이미지의 크기는 페이로드 이미지 크기보다 작지 않아야 합니다. 수행 단계: 1. 정상 파일에서 CFG 비활성화 일시 중단된 프로세스를 생성합니다. 2. 페이로드를 메모리에 매핑하고, 원래 매핑된 이미지 위에 기록합니다원본...

VortexCry-Ransomware-Release

VortexCry-Ransomware VortexCry は、マルチステージプロセスインジェクション（Process Hollowing や APC Injection など）と、カーネルドライバのロード（CVE-2019-16098 脆弱性を利用）を活用した高度なランサムウェアです。ファイルの暗号化、システム復旧機能の破壊、そして身代金の要求を行うことができます。 VortexCry...

ProcessInjection

ProcessInjection 이 프로그램은 프로세스 인젝션을 수행하도록 설계되었습니다. 현재 이 도구는 5가지 프로세스 인젝션 기술을 지원합니다. root@kitploit: 1 Vanilla Process Injection 2 DLL Injection 3 Process Hollowing 4 APC Queue 5 KernelCallbackTable Injection 이 도구는 4가지 형식의 셸코드를 허용합니다. root@kitploit: 1 base64 2 hex 3 c 4 raw 이 도구는 프로세스 인젝션을 수행하기 위한 4...

memhunter

Memhunter Automated hunting of memory resident malware at scale This project is WORK IN PROGRESS. Expect feature changes and binary releases on the upcoming weeks. Overview Memhunter is an endpoint sensor tool that is specialized in detecing resident malware, improving the threat hunter analysis...

PichichiH0ll0wer

PichichiH0ll0wer 소개 기능 인젝션 방법 설치 사용법 크레딧 소개 --== Nim으로 작성된 PE 전용 프로세스 할로잉 로더 ==-- 저는 PichichiH0ll0wer를 배우고 기여하기 위해 만들었습니다. 물론이죠. 하지만 셸코드가 도처에 널린 것에 꽤 지쳐서이기도 합니다. PE를 로딩하는 것이 덜 은폐적일 수 있다는 것을 알고 있지만, 여전히 효율적이고 매번 PE 페이로드를 셸코드로 변환하는 싸움항상 원활하게 작동하지는 않음보다 더 편리합니다. 또한 PichichiH0ll0wer에는 페이로드를 보호하기 위한 몇...

Chrome-App-Bound-Encryption-Decryption

ChromElevator Chrome App-Bound Encryption Decryption 🚀 概要 Chromium の App-Bound Encryption ABE に対する完全なインメモリ・バイパスを実証するポストエクスプロイテーションツールです。このプロジェクトは、Direct Syscall ベースの Reflective Process Hollowing を利用して、正規のブラウザプロセスをサスペンド状態で起動し、ペイロードをステルス的に注入して、そのブラウザのアイデンティティとセキュリティコンテキストを乗っ取ります。この...

SharpBlock

SharpBlock エントリポイントの実行を防ぐことで、EDRのアクティブプロジェクションDLLをバイパスする方法。 特徴 EDR DLLのエントリポイント実行をブロックし、EDRフックが配置されるのを防ぎます。 ランタイムでAmsi.dllのコードパッチを検出するスキャナーから検出されない、パッチレスのAMSIバイパス。 ディスク、HTTP、または名前付きパイプ（Cobalt Strike）からロード可能なインプラントPEに置き換えられるホストプロセス。 インプラントプロセスは非表示になり、プロセス空洞化を検出するスキャナーを回避するのに役立ちます。...

Ares

Project Ares Project Ares Injector Project Ares Injector는 Transacted Hollowing 기술을 기반으로 C/C++로 작성된 개념 증명PoC 로더입니다. 이 로더는 원격 프로세스에 PE를 주입하며 다음과 같은 기능을 제공합니다: PPID 스푸핑 비 Microsoft 서명 바이너리를 차단하는 CIG LoadLibrary 또는 GetProcAddress API 없이 동적 함수 해결 API 해싱 디스크의 깨끗한 버전으로 .text 섹션을 새로고침하여 NTDLL 언후킹 WIN32 A...

ZeroCrumb

ZeroCrumb 권한 없이 App Bound 보호 자격 증명 및 쿠키 덤프 설명 ZeroCrumb은 Transacted Hollowing을 사용하여 Chrome 인스턴스를 가장함으로써 Chrome Elevation Service를 우회하며, 이를 통해 IElevator COM 인터페이스를 사용하여 App Bound Key를 복호화할 수 있습니다. 그런 다음, 할로윈된 Chrome 인스턴스에서 실행되는 키 덤퍼가 Named Pipe를 통해 복호화된 키를 ZeroCrumb으로 다시 보냅니다. 이후 ZeroCrumb은 이전에 가져...

Sharperner

Sharperner Sharperner 는 CSharp으로 작성된 도구로, AES 및 XOR 난독화된 셸코드를 사용하여 .NET 드로퍼를 생성합니다. 생성된 실행 파일은 서명 검사를 우회할 수 있지만, 휴리스틱 스캐닝을 우회할 수 있을지는 확실하지 않습니다. 기능 PE 바이너리 프로세스 할로잉 PPID 스푸핑 무작위 생성 AES 키 및 IV 최종 셸코드, 키 및 IV는 모스 부호로 변환됩니다 : .NET 바이너리 AES + XOR 암호화된 셸코드 APC 프로세스 인젝션 explorer.exe 무작위 함수 이름 무작위 생성 AE...

PELoader

PELoader PELoaderは、様々なシェルコードインジェクション技術を実装し、libpeconvライブラリを使用して、リモートスレッドにシェルコードを注入する代わりに、暗号化されたPEファイルをロードします。 以下の技術が実装されています: Module Stomping LoadLibrary Module Stomping NtMapViewOfSection PoC Transacted Hollowing PoC Ghostly Hollowing PoC Herpaderply HollowingPoC NtMapViewOfSection RWX-RW-RX...

avet

안티바이러스 우회 도구 AVET는 기술 발전 및 시간 제약으로 인해 더 이상 개발되지 않습니다. AVET는 침투 테스터의 작업을 더 쉽게 만들고 안티바이러스 우회 기술 및 악성 소프트웨어에서 사용되는 기타 방법을 실험하기 위해 개발된 안티바이러스 우회 도구입니다. v2.4 의 새로운 기능 및 이전 버전 변경 사항에 대한 개요는 CHANGELOG 파일을 참조하세요. 목차 설치 Docker 간편한 AVET 일반적인 AVET 문서 클릭하여 펼치기 데이터 검색 방법 암호화 및 인코딩 샌드박스 우회 추가 명령 실행 도우미 도구 AVET...

Kernel-Process-Hollowing

Windows カーネルモードの Process Hollowing このプロジェクトは、Process Hollowing 技術がカーネルレベルでどのように動作するかを示す概念実証です。 リソース SSDT Hook Process Hollowing...

Percino

Percino 回避型Golangローダー Percinoは、アンチサンドボックスとアンチ解析対策を備え、Process Hollowing技術を利用してシェルコードを実行するGolangローダーです。 シェルコードは、Triple DES（3DES）暗号化アルゴリズムで暗号化されています。 あらゆるC2フレームワークで完全なEDRバイパスが可能です。MDE EDRに対してCobalt Strikeでテスト済みです。 主な機能: 3DES暗号化 サンドボックス回避 解析回避 実行遅延 Process Hollowing TIP: CSでバイナリに署名することを推奨します。 CS: MSF...

Shinigami

Shinigami Shinigami は、プロセス・ホローイングまたは汎用パッカー・ルーチンを介して注入されたマルウェア・インプラントを検出およびアンパックするために設計された実験的なツールです。 動作の仕組み このツールは、プロセス・ホローイングに関連するNT関数をフックし、新たに実行可能となったメモリページにページガードビットを設定することで動作します。この手法により、Shinigami は、通常シェルコードやアンパックされたコードによって引き起こされる間接的なフロー変更を検出できます。これらはマルウェアを示すことがよくあります。 Shinigami...

hollows_hunter

hollowshunter...

Vidar-Stealer-Reverse-Engineering

Vidar Stealer 2.0 リバースエンジニアリング分析 概要 本分析では、高度な回避技術を駆使して検出を免れる洗練された情報窃取型マルウェア Vidar Stealer 2.0 の徹底的なリバースエンジニアリングについて説明します。主な発見には以下が含まれます。 タスクスケジューラの改ざん: システムタスクのタイムスタンプを1999年に変更し、フォレンジック解析を回避します。 Explorer.exe のプロセスハローイング: 正当な Windows Explorer プロセスにシェルコードを注入します。 Microsoft Copilot への注入: ステルス実行のために新し...

Signed, sealed, injected: The mechanics of DCRat in 2026

Signed, sealed, injected: The mechanics of DCRat in 2026 By Madhini Muralidharan, Shalaka Patil and Kaushal Sarda · August 13, 2026 Introduction In early 2026, the Trellix Advanced Research Center ARC identified and analyzed an active DarkCrystal RAT DCRat campaign following a critical customer...

Fake Purchase Order Emails Spread Fileless PureLogs Malware via RAR Archives

Hackers are using fake purchase order emails and process hollowing to deploy fileless PureLogs malware to steal Windows users' browser, crypto, and Discord data...