Killer

KILLER TOOL EDR Evasion It's a AV/EDR Evasion tool created to bypass security tools for learning, until now the tool is FUD. Features: Module Stomping for Memory scanning evasion DLL Unhooking by fresh ntdll copy IAT Hiding and Obfuscation & API Unhooking ETW Patchnig for bypassing some security...

PELoader

PELoader PELoader implement various shellcode injection techniques, and use libpeconv library to load encrypted PE files instead of injecting shellcode into remote thread. Following techniques were implemented: Module Stomping LoadLibrary Module Stomping NtMapViewOfSection PoC Transacted Hollowin...

Hunt-Sleeping-Beacons

Hunt-Sleeping-Beacons This project is mostly a callstack scanner which tries to identify IOCs indicating an unpacked or injected C2 agent. All checks are based on the observation that C2 agents wait between their callbacks causing the beacons thread to idle and this tool aims to analyze what...

Shhhloader

Shhhloader Shhhloader is a work in progress shellcode loader. It takes raw shellcode as input and compiles a C++ stub that does a bunch of different things to try and bypass AV/EDR. The included python builder will work on any Linux system that has Mingw-w64 installed. 1/25/24 EDIT: Shhhloader no...

NovaLdr

NovaLdr ⚜️ NovaLdr is a Threadless Module Stomping written in Rust, designed as a learning project while exploring the world of malware development. It uses advanced techniques like indirect syscalls and string encryption to achieve its functionalities. This project is not intended to be a complet...

patriot

Patriot メモリ内で動作するさまざまなステルス技術を検出するための小規模な研究プロジェクトです。 最新リリースはこちらからダウンロードできます。 現在のバージョンは以下の検出に対応しています： VirtualProtect関数を指す不審なCONTEXT構造体。Austin Hudsonによる研究とFoliage、およびCracked5piderによるEkkoを対象としています。 プロセス・ホローイングの亜種を検出するための、メモリ内のMZ/PEヘッダーの検証。 ファイルにバックされていない実行可能領域が高整合性で実行されていること。...

AsmLdr

AsmLdr：适用于 Windows x64 的动态 Shellcode 加载器 概述 AsmLdr 是一款使用 x64 汇编语言实现的高级 shellcode 加载器，专为 Windows x64 环境设计。其主要目的是执行加密的有效载荷，同时最大限度降低被高级防病毒软件、端点检测与响应（EDR）系统、沙箱和调试器检测到的风险。它通过在运行时动态解析模块、API 和系统调用来实现这一点，从而消除导入表或硬编码地址等静态依赖。这种方法可生成紧凑且检测特征极低的二进制文件。 该加载器使用模块踩踏（module stomping）技术将 shellcode 放入现有 DLL...

Shellcode-Test-Harness

셸코드 테스트 하네스 셸코드 개발을 가속화하기 위해 설계된 경량 테스트 하네스로, 통합 충돌 진단 및 디버그 출력 리디렉션을 제공하는 실행 환경을 제공합니다. 기능 모듈 스톰핑을 통해 셸코드 실행 VEH를 사용하여 충돌 포착: 셸코드가 오류를 일으키면 실패 지점의 레지스터 덤프, 스택 덤프, 코드 덤프를 출력합니다. 실시간 디버그 출력: 셸코드 출력을 가로채어 콘솔에 표시합니다. 내장 16진수 덤프 유틸리티: 디버그 출력 앞에 "HEXDUMP:0xADDR:SIZE"를 붙이면 로더가 자동으로 해당 메모리 범위를 덤프합니다. DL...

Astral_Projection

Astral Projection - UDRL Astral Projection은 고급 모듈 스톰핑module stomping을 수행하는 Cobalt Strike UDRLUser-Defined Reflective Loader입니다. 이 UDRL은 LoadLibraryExW를 사용하여 모듈을 로드한 후, VEH를 설정하여 전략적인 호출을 가로챕니다. 이를 통해 희생 DLL의 섹션 핸들을 탈취하고 접근 권한을 상향 조정하여 나중에 슬립 마스크에서 사용할 수 있도록 합니다. 슬립 중에는 PEB 항목을 유지한 상태로 모듈을 언맵unmap...

Advanced-Loader-Reverse-Engineering

Shellhost에서 3개의 DLL까지: 페이로드 인젝션, CFG 우회, 다운그레이드 공격을 포함한 고급 로더 분석 개요 이 분석은 Shellhost.exe, amsi.dll, mstscax.dll, clbcatq.dll을 대상으로 하는 정교한 다단계 로더를 다룹니다. 이 로더는 모듈 스톰핑, CFG 우회, COM 하이재킹, 다운그레이드 공격을 사용합니다. Shellhost – 페이로드 인젝션의 주요 대상 로더는 페이로드 인젝션의 주요 프로세스로 Shellhost.exe를 대상으로 합니다. 모듈 스톰핑 을 사용하여...

FunctionStomping

FunctionStomping Description This is a brand-new technique for shellcode injection to evade AVs and EDRs. This technique is inspired by Module Stomping and has some similarities. As to this date 23-01-2022 alsohollows-hunter doesn't find it. The biggest advantage of this technique is that it isn'...

ModuleStomping

Counterceptのモジュールストンピングに関する研究 パート1 - https://blog.f-secure.com/hiding-malicious-code-with-module-stomping を参照してください。 関連するブログ記事の全文は、Documentationディレクトリにあります。...

Hunt-Sleeping-Beacons - Aims To Identify Sleeping Beacons

The idea of this project is to identify beacons which are unpacked at runtime or running in the context of another process. To do so, I make use of the observation that beacons tend to call Sleep between their callbacks. A call to sleep sets the state of the thread to DelayExecution which is take...