r77-rootkit

r77 Rootkit Fileless ring 3 rootkit r77 is a ring 3 rootkit that hides everything: Files, directories Processes & CPU/GPU usage Registry keys & values Services TCP & UDP connections Junctions, named pipes, scheduled tasks Hiding by prefix Everything that starts with "$77" is hidden. Configuration...

BOF_RunPe

BOFRunPE BOF RunPE 是一个用于 Cobalt Strike 的 Beacon 对象文件，可在 beacon 进程内完全在内存中执行 PE 文件。与传统的 fork&run 不同，不会生成子进程，不会创建控制台，也不会使用管道 ——所有输出均通过 IAT 挂钩捕获并重定向到 beacon 控制台。 架构： 仅 x64 概述 ┌──────────────────────────────────────────────────────────────┐ │ Cobalt Strike Beacon │ │ Current Process │...

DotDumper

DotDumper DotNet Framework をターゲットとするファイルのための自動アンパッカー兼ロガーです！このツールは Black Hat USA 2022 で発表されました。Black Hat Asia 2023 では、DotDumperGUI と DotDumperNative、および DotDumper バージョン 1.1-stable が公開されました。これら3つのツールは一緒に使用することを想定しており、DotDumper 1.1-stable は DotDumperNative の DLL が存在する必要があり、DotDumperGUI は DotDumper...

HeaderLessPE

HeaderLessPE はじめに 中国語 HeaderLessPEは、Icedidトロイの木馬で使用されるメモリPEローディング技術です。この技術に基づき、HVNCを使用したファイルレス攻撃の新しい方法を提案します。この拡張により、HeaderLessPEをグラフィカルなハッキングツールに制限なくインジェクトして実行できるようになります。 MemDllのような他のインメモリローディング技術と比較して、拡張されたHeaderLessPEには2つの利点があります： 従来のDOSヘッダーとPEヘッダーのIOCを回避 DOSヘッダーとPEヘッダーはメモリスキャンの焦点となることが多く、Coba...

PolyEngine

PolyEngine — ポリモーフィックPEパッカー 📦 PolyEngine は、CTFチャレンジや低レベルのWindowsセキュリティ教育向けに設計された、研究グレードの回避型PEパッカーです。EDRやAVのヒューリスティックを、メモリ内実行と難読化技術の階層的なスタックを通じてバイパスすることに焦点を当てています。 これは私がしばらく取り組んできたサイドプロジェクトです。Claude...

DesckVB-RAT

DesckVB RAT v2.9 — モジュラー .NET RAT、多段階配信 & プラグインエコシステム “Pjoao1578” へのツールチェーン関連性 作者: ShadowOpCode X/Twitter: https://x.com/ShadowOpCode このリポジトリは、DesckVB RAT （2026年初頭の実際のキャンペーンで観測されたモジュラー .NET リモートアクセス型トロイの木馬 ）を中心としたアクティブなマルウェアエコシステム を文書化した、完全な技術レポートに付随するものです。...

EXCELntDonut

| \ / / | | | | || \ | | | | \ / | | | | | | ' | | | | |/ | ' | | | | | | | / \ || || || | | | || || | | | | | || | | |//\|||| |||/ /|| ||,|| by @JoeLeonJr @FortyNorthSec EXCELntDonut は XLM（Excel 4.0）マクロジェネレータです。C ソースコード（EXE）を入力として、メモリ上でコードを実行する XLM（Excel 4.0）マクロを出力します。XLM（Excel 4.0）マクロは...

NebulaPulsar

NebulaPulsar 更新: このプロジェクトは現在、私のアイデアと実験目的を示すために Alien のサブプロジェクトとなっています。 NebulaPulsarは、Java（JSP）および ASP.NET（ASPX/ASHX/ASMX）向けの概念実証型インメモリインプラントフレームワークであり、もともとはAlienプロジェクトの一部として開発されました。...

Aladdin

Aladdin .-. .-''-., | //\ ";\ "/ \ , |'./ \ '='-, /\ \ || ///\ '. T |\ | /,-' '. '..-' /'/ | | '. .'-../ ,\ / '-' |/ /-----j .--..--'\ / --' '---. / '---. -'. .' .-- '. \ '--. ;.-o / '. /.8----' c-'----' Lefty @lefterispan - Nettitude Red Team - 2022 / 2023 概要 Aladdin は、James...

Fritter

Fritter Donut の回避型いとこ。 Fritter は、TheWover と Odzhan の Donut シェルコードジェネレーターを大幅に改変したフォークです。VBScript、JScript、EXE、DLL、.NET アセンブリのインメモリ実行用の位置非依存シェルコードを生成し、回避とシグネチャ耐性に重点を置いています。コードベースは x64 専用です。 何が違うのか たくさん。 Fritter は、あまり必要とされない機能を取り除き、長年にわたってシグネチャ化されてきた内部を置き換えています。暗号化、圧縮、ハッシュ、API...

TinyLoad

TinyLoad v7.4 - Windows向けPEパッカー兼クライプター TinyLoadはx64実行ファイル向けのPEクライプター/パッカーです。入力されたexeを様々な保護レイヤーでパックし、リバースエンジニアリングを防ぎます。単一の.cppファイルであり、外部依存関係は一切ありません。 動作原理...

elfloader

Summary elfloader is a super simple loader for ELF files that generates a flat in-memory representation of the ELF. Pair this with Rust and now you can write your shellcode in a proper, safe, high-level language. Any target that LLVM can target can be used, including custom target specifications...

ShellcodeFluctuation

Shellcode Fluctuation PoC シェルコードの内容を周期的に暗号化・復号化し、メモリ保護を RW（または NoAccess）と RX の間で変動させる、もう一つのインメモリ逃避技術の PoC 実装です。 シェルコードが RW または NoAccess のメモリページに存在する場合、Moneta や pe-sieve などのスキャナは、それを追跡してさらなる解析のためにダンプすることができなくなります。 はじめに ThreadStackSpoofer をリリースした後、私は以下の README の点についていくつか質問を受けました： Beacon...

Forblaze

Forblaze - Python製Macステガノグラフィーペイロードジェネレーター/インライブラリ/Dylib/MachOのインメモリ実行 著者: AsaurusRex 免責事項 このプロジェクトを、正規のレッドチーム/ペネトレーションテスト業務や研究以外の目的で使用しないでください。いかなる違法行為にも使用しないでください。このプロジェクトは研究目的であり、レッドチームとブルーチームの両方のミッションを前進させるために役立つことを目的としています。 ブログ記事...

pybof

PyBOF Beacon Object ファイルを python で実行する BOF のインメモリ読み込みと実行 PyBOF は、Python3 が Beacon Object Files をバイト列として読み込み、Python インタプリタ上で対象の BOF 関数を実行できるようにします。 基本的な使い方 引数を必要としないシンプルな BOF を実行する data = openr'c:\path\to\example.o', 'rb'.read bof.rundata BOF に raw 文字列の引数を渡す data = openr'c:\path\to\example.o',...

CVE-2023-30367-mRemoteNG-password-dumper

mRemoteNG = v1.77.3.1784-NB パスワードダンパー CVE-2023-30367 Multi-Remote Next Generation Connection Manager（mRemoteNG）は、ユーザーがシステムにリモート接続するためのマルチプロトコル接続設定を保存・管理できるフリーソフトウェアです。 mRemoteNGの設定ファイルは、ディスク上で暗号化された状態で保存することができます。mRemoteNG バージョン = v1.76.20 および = 1.77.3-dev...

bincrypter

プログラムのためのプライバシーと著作権保護 Linuxバイナリランタイム暗号化ツール - BASH製! あらゆるELFバイナリを難読化・暗号化 あらゆるシェルスクリプトを難読化・暗号化 AV/EDR対策: モーフィング + 毎回異なるシグネチャ 100%インメモリ。一時ファイルなし ファイルシステムを汚さない 同じバイナリを2重または3重に暗号化可能それ自身も 生成されるバイナリは高度に難読化されるstringではガベージのみ表示 LotLLiving off the Land: 必要なのは/bin/sh + perl + opensslのみ アーキテクチャ非依存:...

execute-assembly-pico

Execute Assembly PICO Crystal Palace向けのPICOであり、donut シェルコードジェネレーターと同じ手法を使用して、追加された.NETアセンブリをメモリ内で実行するためのネイティブCLRホスティングを実装しています。これにより、RubeusやSeatbeltなどの.NETツールを、ディスク上に配置せずに位置独立コードから読み込むことができます。 ビルド プロジェクトをリンクするには、MinGW GCC、zipユーティリティ、およびCPL実行ファイルが必要です。config.spec...

Soviet

Soviet Linux向けC言語によるランタイム暗号化ツール。 ELFバイナリを暗号化しますが、ファイルハンドルを使用せずにメモリ上で実行できるようにします。その後、プログラムをメモリ内でランダムデータで上書きします。目的は、バイナリ解析やメモリ解析をより困難にすることです。 依存関係 Debianの場合: sudo apt install make build-essential libssl-dev libssl3 Fedoraの場合: sudo dnf install make glibc-devel openssl openssl-devel ビルドとインストール: git...

CVE-2022-37017

CVE-2022-37017 Symantec Endpoint Protection 14.3.5351 クライアントユーザーインターフェースパスワードの認証バイパス Symantec Endpoint Protection では、UI にパスワード保護を設定して、設定変更を防止することができます。 このパスワードチェックは、Protected Process Light PPL やカーネルドライバのいずれにも該当しないロジックによって実装されています。メモリ内の戻り値を変更したり、バイナリをパッチすることで、攻撃者はパスワードをバイパスできます。 これは、Tamper...