DInvoke_rs

DInvokers DInvokers は Dinvoke の Rust 移植版です。DInvokers は、PE パース、動的なエクスポート関数の解決、実行時の PE プラグインの動的ロード、API フック回避など、さまざまな目的に使用できます。 機能: Rust から未公開の Windows API を動的に解決・呼び出します。 戦略的な API フック回避を可能にするプリミティブ。 間接システムコール。 x64 のみ ディスクまたはメモリから直接 PE モジュールを手動でマッピングします。 PE ヘッダーのパース。 PE...

NovaLdr

NovaLdr ⚜️ NovaLdr는 Rust로 작성된 Threadless Module Stomping으로, 악성코드 개발의 세계를 탐험하는 학습 프로젝트로 설계되었습니다. 간접 시스템 호출 및 문자열 암호화와 같은 고급 기술을 사용하여 기능을 구현합니다. 이 프로젝트는 완전하거나 완성된 제품이 아니라 악성코드의 기술적 측면을 탐구하고 다양한 기술과 기능을 선보이는 여정입니다. 기능 개요 💡 Indirect Sycalls 문자열 암호화 셸코드 암호화 : 단순 XOR 및 셸코드 바이트를 MAC 주소로 변환 Threadless 실행...

lacuna-rs

lacuna-rs Ghost-frame コールスタック偽装 + ランタイム間接システムコール for Windows x64 — Rust に移植済み。 Mohamed Alzhrani 0xmaz による LACUNA Chain lacunachain.c からの移植。 lacuna-rs は、再利用可能な Rust クレートであり、元の C TTP と同じプリミティブを提供します。構造化されているため、任意の Rust プロジェクトにドロップインできます。wsyscall-rs や syscalls-rs と似ていますが、ランタイム SSN 解決 、関数ごとのsyscall;r...

DarkWidow

DarkWidow Windows를 대상으로 하는 사용자 정의 가능한 드로퍼 도구입니다. 감사의 말: 1. BlackHat Asia, 2024 - 도구 제안 요청 2. BlackHat USA, 2024 - 도구 제안 요청 3. BlackHat SecTor, 2024 - 도구 제안 요청 4. BlackHat Europe, 2024 - 도구 제안 요청 5. Wild West Hacking Fest 2024 - Arsenal Soumyadeep Da 일명 @SoumyadeepBas12님께 이 컨퍼런스에 지원하도록 격려해 주셔서 정말...

awesome-edr-bypass

멋진 EDR 우회 🛡️ 윤리적 해킹을 위한 멋진 EDR 우회 자료 ⚔️ EDR 우회 기술은 공격자만을 위한 것이 아닙니다. 많은 악성코드가 이제 EDR 우회 기능을 갖추고 있어, 침투 테스터와 사고 대응자도 이에 대해 알고 있어야 합니다. 이 저장소는 공격을 확대하는 데 사용하기 위한 것이 아닙니다. 윤리적 해킹을 위해 사용하십시오. PoC trickster0/TartarusGate: TartarusGate, EDR 우회 am0nsec/HellsGate: Hell's Gate VX 기법의 원본 C 구현 해당 논문 PDF는 EDR...

acheron

About Acheron is a library inspired by SysWhisper3/FreshyCalls/RecycledGate, with most of the functionality implemented in Go assembly. acheron package can be used to add indirect syscall capabilities to your Golang tradecraft, to bypass AV/EDRs that makes use of usermode hooks and instrumentatio...

rust_syscalls

RUSTSYSCALLS ランタイムSSN解決を備えたWindows向けの、シングルスタブによる直接・間接syscall。 特徴: すべてのsyscallを1行で実行可能 コンパイル時に関数名をハッシュ化 直接または間接syscall x8664、WOW64、x86ネイティブ対応 カスタムSSN取得メソッドの実装を可能にする設計詳細はこのREADMEの末尾を参照 使い方: 1. gitリポジトリ / ローカルパスを依存関係としてライブラリに追加します: rustsyscalls = git = "https://github.com/janoglezcampos/rustsyscalls...

Unwinder

目次 SilentMoonWalk 説明 クレジット 使い方 callfunction! マクロ indirectsyscall! マクロ パラメータの受け渡し 例 kernel32.dll!Sleep を呼び出す kernel32.dll!OpenProcess を呼び出す NtDelayExecution を間接システムコールとして呼び出す マクロ呼び出しの連結 注意事項 最初のフレーム PoC スタック置換 技術の説明 使用方法 例 注意事項 SilentMoonWalk 説明 Unwinder は SilentMoonWalk 技術の完全な兵器化を提供し、Rust...

HWSyscalls

HWSyscalls 主な貢献者 説明 HWSyscalls は、以下の3つの主要コンポーネントを使用して間接システムコールを実行する新しい手法です。 実行フローを制御するためのハードウェアブレークポイントとベクタード例外ハンドラ。 システムコール番号とアドレスを見つけるために使用される HalosGate。 ハードウェアブレークポイントを使用して kernel32 上に合成トランポリンを作成。 HWSyscalls は、現在の間接システムコール検出に基づく EDR や AV...

DEFCON-31-Syscalls-Workshop

間接的 システムコール: 高水準から低水準への旅 RedOps | Red Team Village | DEF CON 31 はじめに 理論 と演習用プレイブック はすべてwikiにあります。wikiは、用意されたPOCとともに、このプロジェクトの中核です。演習用のPOC はここメインページ にあります。 楽しく学んでください! Daniel Feichter 免責事項 まず初めに、10年以上にわたり私のすべての活動を支えてくれているガールフレンドに心から感謝 します。彼女の支援と支えがなければ、この10年間のプロジェクトはどれも実現し得なかったでしょう。...

nimvoke

nimvoke 間接システムコール + DInvoke をシンプルに。 自身の Nim プロジェクトに直接インポートできるように設計された nimvoke は、マクロを使って間接システムコールと DInvoke スタイルのデリゲート宣言の詳細を抽象化します。このライブラリは、すぐに使えて比較的 op-sec フレンドリーになることを意図しています。マクロで使用される関数名とライブラリ名はコンパイル時にハッシュ化され、SSN と syscall 命令のアドレスはフックの有無にかかわらず取得されます。すべてのシステムコールは ntdll.dll 内の正しい syscall 命令を経由します。...

AtlasLdr

Atlasは、以下の機能を備えたリフレクティブx64ローダーです： 機能 リモートサーバーからのDLLおよびPEの取得 リモートプロセスへのマニュアルマッピング DOSヘッダーおよびNTヘッダーのマジックバイトの消去 位置独立コード 間接システムコールの使用 ZwOpenProcess ZwAllocateVirtualMemory ZwProtectVirtualMemory ZwQuerySystemInformation ZwFreeVirtualMemory ZwCreateThreadEx すべてのシステムコールに対する単一スタブ 動的SSN取得 動的システムコールアドレス解決...

CallstackSpoofingPOC

コールスタックスプーフィング + 間接システムコール POC このプロジェクトは、EDR回避に焦点を当てたPOCである、シンプルなC++製のセルフインジェクションドロッパーで構成されています。これを実装するために、コールスタックを隠すための Windows Thread Pooling と、NTDLLでのフッキングを回避するための 間接システムコール の使用を組み合わせました。 2023-10-08-23-22-35-Trim image image image image...

hookchain

Hookchain 要約 - EN 脅威が急速かつ複雑に進化する現在のデジタルセキュリティ環境において、Endpoint Detection and Response（EDR）ソリューションを開発する企業は、新たな攻撃ベクトルに追従するだけでなく、それを先取りするイノベーションを常に模索しています。 このような状況下で、本稿は、広く知られた技術を別の視点から捉えたHookChainを紹介します。これらの技術は、組み合わせることで、従来のEDRシステムに対する高度な回避の追加レイヤーを提供します。...

NullGate

NullGate このプロジェクトは、間接システムコールを使用してNTAPI関数を快適かつ現代的に利用する方法を実装しており、動的なシステムコール番号の取得には FreshyCalls メソッドを少しひねった形で組み合わせています。 また、Windows Defender のメモリスキャンを回避するために、これまで言及されているのを見たことがないテクニックも使用しています。 このプロジェクトは、このライブラリを使用した古典的なPoCプロセスインジェクタを実装しています。 便利な暗号化関数も利用できます。 Demo Build サンプルをビルドするには...

DllNotificationInjection - A POC Of A New "Threadless" Process Injection Technique That Works By Utilizing The Concept Of DLL Notification Callbacks In Local And Remote Processes

DllNotificationInection is a POC of a new “threadless” process injection technique that works by utilizing the concept of DLL Notification Callbacks in local and remote processes. An accompanying blog post with more details is available here: https://shorsec.io/blog/dll-notification-injection/ Ho...

AtomLdr - A DLL Loader With Advanced Evasive Features

A DLL Loader With Advanced Evasive Features Features: CRT library independent. The final DLL file, can run the payload by loading the DLL executing its entry point, or by executing the exported "Atom" function via the command line. DLL unhooking from \KnwonDlls\ directory, with no RWX sections. T...