44556 matches found
secret_handshake
Secret Handshake - 一种利用 x509 证书通过 mTLS 实现恶意软件 C2 信道 动机 首先，我为什么要把这个开源？ MITRE ATT&CK 只提到被盗的或自签名的证书，而 NDR（据我所知）很少关注 x509 证书的内容，除了颁发 CA 是谁之外。一般来说，x509 证书是被信任的，并且可以毫无阻碍地穿过我们的防火墙。但本质上，它们只是文件，可以像其他任何文件一样轻松包含恶意负载。我们信任并忽略它们，因为它们是加密过程的核心组成部分，而我们已对这种加密过程习以为常。这个项目的主要目标是提高人们对一类我们已然信任的安全指标的认识，并突出展示可用于检测其恶意使用的方...
kavanoz
🫙 kavanoz 🫙 Kavanoz（土耳其语中意为“罐子”）是一款用于静态解包常见 Android 银行木马的工具。你是否曾想过在不运行 Android 模拟器的情况下从加壳恶意软件中获取 payload？我也没想过 : 但这里还是有一个工具。 👀 安装 pip install kavanoz 要从源码安装，请克隆仓库并使用 -e 进行可编辑安装。这意味着如果你编辑或向项目添加新插件，无需重新安装即可生效。 git clone https://github.com/eybisi/kavanoz.git cd kavanoz pip install -e . ⚡ 使用方法 通过命令行...
Detection
关于 本仓库包含我们在 DFIR 项目和恶意软件分析过程中提取并使用的检测规则和 IOC。 联系方式 在 Twitter 上关注我们：https://twitter.com/SIFalconTeam...
hive
来自WikiLeaks： 今天，2017年11月9日，WikiLeaks发布Hive的源代码和开发日志。Hive是CIA用于控制其恶意软件的基础设施中的一个主要组成部分。 Hive为CIA的恶意软件操作人员解决了一个关键问题。即使目标计算机上安装了最复杂的恶意软件植入程序，如果它无法以不引人注意的安全方式与操作人员进行通信，那也是毫无用处的。使用Hive后，即使植入程序在目标计算机上被发现，仅通过查看恶意软件与互联网上其他服务器之间的通信，也很难将其归因于CIA。Hive为一系列CIA恶意软件提供了一个隐蔽的通信平台，用于将窃取的信息发送到CIA服务器，并从CIA的操作人员处接收新的指令...
malvinci
malvinci 这个简单的脚本将介绍一种新型恶意软件，它会关闭防火墙、启动HTTP服务器、通过ngrok转发其端口，并通过Telegram机器人发送服务器URL。 你需要创建一个新的Telegram机器人。按照这里的步骤创建一个⚡ 如何设置 在运行此程序之前，请编辑payload.py文件 将"botttoken"替换为你的Telegram机器人API密钥。 将"chatid"替换为你的Telegram机器人的聊天ID。 如何使用 安装依赖 $ python3 , pip $ py -3 -m pip install -r requirements.txt...
malware-samples
malware-samples 本仓库收集了各类恶意软件样本及相关剖析信息，其中大部分可能引自 http://blog.inquest.net 或 https://twitter.com/inquest。请务必同时查看 https://labs.inquest.net 的深度文件检查（DFI）模块，它提供了一个可交互搜索的界面，可访问包含超过 50 万个可下载恶意软件诱饵样本的大型语料库。 CVE-2018-4878-Adobe-Flash-DRM-UAF-0day 14c58e38... 载体：Microsoft Excel 2007+ XLSX, JSON VT 报告...
KPOT-string-decrypter
KPOT-string-decrypter 用于解密 KPOT 窃取器字符串的 IDA Python 脚本，并将这些字符串设置为运行时接收它们的变量旁边的注释。其工作方式如下： 获取通过 eax 传递给任一解密函数的偏移量（解密函数有两个，这就是本仓库包含两个脚本的原因），可以使用 mov 或 pop eax。 通过读取数组对应的长度和 XOR 密钥来解密数组中的字符串。 打印解密后的字符串以及其被设置为注释的位置的偏移量，同时打印 任何无法解密的字符串 （见下面的 重要注意事项）。 重要注意事项 在代码中，有少数情况恶意软件会使用脚本未涵盖的不同方法。你可以通过跟踪带有 Could n...
VISION-ProcMon
关于 VISION-ProcMon 是一款专用于恶意软件分析，特别是执行行为分析的工具。VISION-ProcMon 结合使用 Rust 和 Web 技术，以便在使用 ProcMon 工具捕获恶意软件的活动后，快速且更好地可视化其行为。VISION-ProcMon 并非为希望调查进程以进行调试的系统管理员而设计。 使用场景 VISION-ProcMon 为了更深入地了解该工具的功能，您可以查看这篇博客文章，其中演示了使用 VISION-ProcMon 对恶意软件进行行为分析：https://www.forensicxlab.com/posts/vision-procmon/ 安装...
raccoon_config
raccoonconfig 从 Tria.ge 扫描 raccoon 服务器列表，并将配置提取为 JSON。如果需要，它还可以自动将从 Raccoon 配置中提取的后续恶意软件发送到 Tria.ge （需要 API 密钥） 资源: Logo: https://www.deviantart.com/snatti89/art/193-365-Mugshot-588700352...
Scripts-With-Malware-Analysis
此存储库没有 README。...
PoC-Malware-TTPs
PoC-Malware-TTPs 恶意软件 TTP 的概念验证代码仓库...
2023
100 Days of YARA 第 2 部分 - Electric Detectaloo 提前为这个糟糕的命名道歉，但欢迎来到 100 Days of YARA！这个仓库将作为在此期间创建的所有 YARA 想法的存储库。你编写的任何有趣的脚本、工具或规则都可以提交到这个 GitHub 仓库！目前，任何相关的博客、演练或其他思考都可以托管在其他地方 : 那么这到底是怎么回事？ 简而言之，100DaysofYARA 是互联网上恶意软件分析师、检测工程师和逆向工程师分享 YARA 规则想法、规则创建技巧或以非常规方式使用 YARA 的方法的地方。...
Configuration_extractors
Configurationextractors Vidar Stealer： 该配置提取器已在以下样本上测试： 37c74886ce85682039bced4a6423e233aebd962921d9a76008d19ff75483a52c 6956fb2dd65d6627c23b680d4149983017bcb8e8b8fc1d30a5210998ca8cf801 3a7512884d5e269a6c9d74a0af38c0d4d4b95bdbe5c7cc8d8608e84a725d2134...
tooling-playground
tooling-playground 用于反混淆和恶意软件分析的小型脚本与工具集合。...
DaysOfYARA-2023
100 Days of YARA 第二部分 - Electric Detectaloo 先为这个糟糕的命名道个歉，但欢迎来到 100 Days of YARA！这个仓库将作为这段时间内创建的所有 YARA 创意的存储地。你编写的任何有趣的脚本、工具或规则都可以提交到这个 GitHub 仓库！目前，任何相关的博客文章、演练或其他随想都可以托管在其他地方 : 那么这到底是怎么回事呢？ 简而言之，100DaysofYARA 是互联网上的一个地方，恶意软件分析师、检测工程师和逆向工程师在这里分享 YARA 规则创意、规则创建技巧，或是以非传统方式使用 YARA 的方法。...
VMwareCloak
VMwareCloak 一个 PowerShell 脚本，旨在帮助恶意软件分析师隐藏其 VMware Windows 虚拟机，以躲避可能试图逃避分析的恶意软件。 保证能让你的 pafish 评分至少降低几分 ; 该脚本通过以下方式实现这一目的： 重命名恶意软件通常用于 VM 检测的多个注册表项。 终止 VMware 进程。 删除 VMware 驱动程序文件（这不会导致虚拟机崩溃，因为这些驱动程序反正已经加载到内存中！）。 删除或重命名 VMware 支持文件。 更多信息，请参阅我的博客文章：...
Awesome_Malware_Techniques
Awesome 恶意软件技术 一个精选的资源列表，用于分析和研究恶意软件技术。 Unprotect: Unprotect 是一个开放的恶意软件规避技术数据库，提供代码片段和检测规则。 LolBas: 利用系统自带二进制文件、脚本和库（Living Off The Land Binaries, Scripts and Libraries）。 ORKL: 威胁情报报告的搜索引擎。 HijackLibs: 这是一个精选的 DLL 劫持候选列表。该网站维护了 DLL 与易受攻击的可执行文件之间的映射，并可通过此网站进行搜索。 Living Off Trusted Sites:...
Shinigami
Shinigami Shinigami 是一款实验性工具，旨在检测并解包通过进程镂空（process hollowing）或通用加壳例程注入的恶意软件植入体。 工作原理 该工具通过挂钩与进程镂空相关的 NT 函数，并利用页保护位（page guard bit）标记新近变为可执行的内存页。此技术使 Shinigami 能够检测通常由 shellcode 或解包代码引起的间接流程变更，而这些变更往往表明存在恶意软件。 Shinigami 以挂起状态创建目标可执行文件，并注入一个名为 "Ichigo" 的 DLL...
yara-ttd
yara-ttd - 加壳程序的终极克星 在时间旅行调试（TTD）追踪记录上使用 YARA 规则 1. 演示 2. 动机 3. 安装 4. 用法 5. 即将推出的功能 演示 使用 UPX 加壳的二进制程序 一个简单的启动 calc.exe 的二进制程序，使用 UPX 加壳。 yara-ttd 在线程创建期间，在模块内存中找到了 calc.exe 字符串。 一段运行 calc.exe 的简单混淆 shellcode 被测试的二进制程序解密一段 shellcode，并在新线程中运行它。 当在 ntdll!NtCreateThreadEx 函数上挂钩时， yara-ttd 成功在堆上找到了...