HellHall

HellsHall - Otra forma de obtener syscalls limpios HellsHall es una combinación de HellsGate y syscalls indirectos. Cómo funciona Primero, HellsHall comprueba si la dirección del syscall está hookeada e intenta recuperar el número de syscall comprobando la presencia de los siguientes bytes: 0x4C,...

HallWatch

HallWatch Copyright C 2026 Adam Zypherion — licensed under GPL-3.0. Indirect syscalls are simple once you have seen one. The loader walks ntdll, reads the SSN out of Nt prologue, finds the 0F 05 two bytes further in, sets r10/rax/rdx/r8/r9 itself, and jmps straight at those two bytes. The syscall...

acheron

概要 Acheron は、SysWhisper3 / FreshyCalls / RecycledGate に着想を得たライブラリで、ほとんどの機能が Go アセンブリで実装されています。 acheron パッケージを使用すると、Golang のトレードクラフトに間接システムコール機能を追加し、ユーザーモードフックや インストルメンテーションコールバック を利用して、ntdll.dll に戻らない異常なシステムコールを検出する AV/EDR をバイパスできます。 主な機能 依存関係なし Pure Go と Go アセンブリによる実装...

stealth_call

What is this? Header-only library for Windows x64 that lets you invoke any NT syscall without touching ntdll imports, without leaving strings in your binary, and without the usual red flags that make EDRs lose their minds. No CRT. No STL. No IAT. The whole thing compiles down to 19KB with literal...

CouchPotato

CouchPotato Make sure you compile on your own to avoid detection.. certain strings are XOR at compile time.. I will not be publishing anymore binaries. Usage: CouchPotato.exe ip port Patches ETW & AMSI and uses indirect syscall to abuse SeImpersonatePrivilege. Service account || Admin - NT system...

Hunt-Weird-Syscalls

Hunt-Weird-Syscalls Este es un POC basado en ETW para monitorear syscalls anómalos. Por ahora, los syscalls NtOpenThread y NtSetContextThread se monitorean para identificar IOCs que indican tanto syscalls directos como indirectos. Descripción Este proyecto utiliza ETW, más precisamente proveedore...

CsWhispers

CsWhispers Generador de código fuente para añadir métodos D/Invoke y syscalls indirectas a un proyecto C. Inicio rápido Añade el paquete NuGet más reciente a tu proyecto y habilita el código no seguro. root@kitploit: Exe net481 enable enable 12 true true Crea un archivo en tu proyecto llamado...