HallWatch

HallWatch Copyright C 2026 Adam Zypherion — licensed under GPL-3.0. Indirect syscalls are simple once you have seen one. The loader walks ntdll, reads the SSN out of Nt prologue, finds the 0F 05 two bytes further in, sets r10/rax/rdx/r8/r9 itself, and jmps straight at those two bytes. The syscall...

acheron

소개 Acheron은 SysWhisper3/FreshyCalls/RecycledGate에서 영감을 받은 라이브러리이며, 대부분의 기능이 Go 어셈블리로 구현되어 있습니다. acheron 패키지는 사용자 모드 후크와 계측 콜백을 사용하여 커널 - 사용자 공간으로 전환될 때 ntdll.dll로 돌아오지 않는 비정상적인 syscall을 탐지하는 AV/EDR을 우회하기 위해, Golang 트레이드크래프트에 간접 syscall 기능을 추가하는 데 사용할 수 있습니다. 주요 기능 의존성 없음 순수 Go 및 Go 어셈블리 구현 정적 분석...

stealth_call

이게 뭔가요? Windows x64용 헤더 전용 라이브러리로, ntdll 임포트를 건드리지 않고, 바이너리에 문자열을 남기지 않고, EDR이 의심을 품게 만드는 일반적인 위험 신호 없이 모든 NT 시스템 콜을 호출할 수 있게 해줍니다. CRT 없음. STL 없음. IAT 없음. 전체가 DLL 의존성 0개로 약 19KB로 컴파일됩니다. 기존 시스템 콜 라이브러리의 흔한 함정평문 문자열, 알려진 해시 상수, ntdll이 아닌 메모리에서의 직접 시스템 콜, "이상한 짓을 하고 있다"는 신호를 보내는 IAT 임포트, SECNOCHAN...

HellHall

HellsHall - 클린 시스템 콜을 가져오는 또 다른 방법 HellsHall은 HellsGate와 간접 시스템 콜indirect syscalls의 결합입니다. 작동 방식 먼저 HellsHall은 시스템 콜 주소 가 후킹되었는지 확인하고 다음 바이트들의 존재를 검사하여 시스템 콜 번호를 검색합니다: 0x4C, 0x8B, 0xD1, 0xB8 이는 mov r10,rcx && mov eax,SSn을 나타냅니다. 모든 시스템 콜은 이렇게 시작해야 합니다. 이 시점에서 HellsGate는 Syscall SSn시스템 콜 번호을 가져와서...

CouchPotato

CouchPotato 탐지를 피하려면 직접 컴파일하세요.. 일부 문자열은 컴파일 시 XOR 처리됩니다.. 더 이상 바이너리를 공개하지 않겠습니다. 사용법: CouchPotato.exe ip port ETW 및 AMSI를 패치하고 간접 syscall을 사용하여 SeImpersonatePrivilege를 악용합니다. 서비스 계정 || 관리자 - NT system...

Hunt-Weird-Syscalls

Hunt-Weird-Syscalls 비정상적인 syscalls를 모니터링하기 위한 ETW 기반 POC입니다. 현재 NtOpenThread 및 NtSetContextThread syscalls를 모니터링하여 direct 및 indirect syscalls를 모두 나타내는 IOC를 식별합니다. 설명 이 프로젝트는 ETW, 보다 정확히는 커널 기반 ETW 공급자를 사용하여 IOC를 모니터링합니다. 커널에 위치한 ETW 공급자는 발생한 이벤트의 콜트레이스calltraces에 syscall이 수행된 유저모드 주소가 포함되어 있기 때문에...

CsWhispers

CsWhispers C 프로젝트에 D/Invoke 및 간접 syscall 메서드를 추가하는 소스 생성기입니다. 빠른 시작 최신 NuGet 패키지를 프로젝트에 추가하고 unsafe 코드를 허용하세요. Exe net481 enable enable 12 true true 프로젝트에 CsWhispers.txt라는 파일을 만들고 빌드 작업 속성을 AdditionalFiles로 설정하세요. 프로젝트에 포함하려는 각 NT API 및 지원 구조체/열거형을 추가하세요. 각 항목은 한 줄에 하나씩이어야 합니다. 예를 들면: NtOpenProce...