153 matches found
NTDLL-Unhook
NTDLL 脱钩 通过原生API实现正确的ntdll.dll .text节脱钩。支持x86/x64/wow64。 工作原理 程序遍历PEB定位ntdll.dll基地址，手动解析PE导出表以解析NT...
HallWatch
HallWatch Copyright C 2026 Adam Zypherion — licensed under GPL-3.0. Indirect syscalls are simple once you have seen one. The loader walks ntdll, reads the SSN out of Nt prologue, finds the 0F 05 two bytes further in, sets r10/rax/rdx/r8/r9 itself, and jmps straight at those two bytes. The syscall...
NyxInvoke
NyxInvoke NyxInvoke は、.NET アセンブリ、PowerShell コマンド/スクリプト、Beacon Object Files BOF、PE ファイルの実行用に設計された多用途の Rust ベースのツールで、Ntdll Unhooking、パッチレス AMSI、ETW バイパス機能を内蔵しています。スタンドアロンの実行ファイルまたは DLL のどちらとしてもコンパイルできます。 特徴 .NET アセンブリの実行 PowerShell コマンドまたはスクリプトの実行 Beacon Object Files BOF の読み込みと実行 PE ファイル EXE の読み込みと...
MalDev
MalDev やあ！私のリポジトリへようこそ : 私はキャプテン・マグマです。サイバーセキュリティ、マルウェア開発、そして分析に情熱を注いでいる個人です。 このリポジトリの目的は、私が学習し、ノートとコードでこのリポジトリを更新していく中で、自分のMalDevのロードパスを管理することです。 私はこれらのテクニックの作者ではありません。これは、私によるそれらの実装に過ぎません。 !Important 明確にしておきたいのですが、私は決して専門家ではなく、せいぜい初心者レベルです。ですので、このリポジトリから驚くべきAPTのようなマルウェアが生まれるとは期待しないでください。...
WTSRM
WTSRM - 私のトークに対応するWriting Tiny Small Reliable Malwareデモリポジトリ \KnownDlls\を使用してすべてのWindows DLLのフックを解除 CRT依存なし サイズが小さい 低エントロピー ランダムな文字列暗号化キー（そのため平文の文字列は存在しない） APIハッシュ化 フック検出 ntdll上の初期アンフックのためにフックを迂回する...
nim-loader
nim-loader nim을 배우는 여정에서 여러 리소스를 조합하여 일반적인 EDR/AV 회피 기법을 구현한 셸코드 로더를 만든, 매우 조잡하고 진행 중인 프로젝트입니다. 이것은 난장판이며 연구 목적으로만 사용하세요! 수정 없이 컴파일 및 실행이 될 것이라고 기대하지 마십시오. 지침 loader.nim의 바이트 배열을 자신의 x64 셸코드로 교체하세요. EXE를 컴파일하고 실행: nim c -d:danger -d:strip --opt:size "loader.nim" 사용 중인 인젝션 폴더 메서드의 .nim 파일을 확인하여 인젝...
MemFiles
MemFiles 免責事項: このプロジェクトは複雑であり、その仕組みを理解して適切にテストしないと、Beacon をクラッシュさせてアクセスを失う可能性があります! "Technical Details, Design Considerations, and Commentary" セクションまでのすべてのドキュメントを読むことを強くお勧めします! はじめに MemFiles は CobaltStrike 用のツールキットで、オペレーターが Beacon プロセスによって生成されたファイルをターゲットシステムのディスクに書き込むのではなく、メモリに書き込むことを可能にします。Windo...
ntqueueapcthreadex-ntdll-gadget-injection
🧪 NtQueueApcThreadEx NTDLL ガジェットインジェクション はじめに ApcRoutine と SystemArgument0-3 パラメータを悪用し、ランダムな pop r32; ret ガジェットを渡すことで NtQueueApcThreadEx を使用するこの新しい方法は、ステルスなコードインジェクションに使用できます。この PoC では、特定のパターンに一致する ntdll.dll のメモリ領域からガジェットがランダムに選択されます。つまり、ガジェットはシェルコードに リターン します。 1...
ntdlll-unhooking-collection
此存储库没有 README。...
NTDLLReflection
NTDLLReflection Windows ReleaseIDに基づいてリモートサーバーからReflective Ntdllをメモリにロードし、ntdllへのハンドルを開かずにUserland EDRフックをバイパスし、エクスポートテーブルからエクスポートされたAPIをトリガーします。...
PE-Obfuscator
PE-Obfuscator Evasionを考慮したPE難読化ツールです。RTCore64ドライバーを読み込むには 管理者権限 が必要です。 ビデオ: https://user-images.githubusercontent.com/123980007/234171901-c1eb735e-ceca-481d-9310-02ba30f6836b.mp4 難読化ツール: - リモートサーバーからXORされたFileless PEを取得する - ローダーをディスクにドロップする - そのローダーにランダムなセクションを追加する - 新しく作成したローダーセクションにXORされたFilele...
Fuck-Etw
「⚙️」ETWバイパス & Ntdllアンフッキング Event Trace WindowsETWをバイパスし、ntdllのフックを解除します。 |\ /| | \ /\ \ /|\ /| | /| || /| \ / /| / | | | | | | || | | / / | | | | | | | | | | | || | | | | | | | | | | | | | || | | \ \ | | | | || || | | | || /| / \ | /\ | | | | |/ /|/ // Made by sorahed v1.0 i Hooked Ntdll...
CallstackSpoofingPOC
コールスタックスプーフィング + 間接システムコール POC このプロジェクトは、EDR回避に焦点を当てたPOCである、シンプルなC++製のセルフインジェクションドロッパーで構成されています。これを実装するために、コールスタックを隠すための Windows Thread Pooling と、NTDLLでのフッキングを回避するための 間接システムコール の使用を組み合わせました。 2023-10-08-23-22-35-Trim image image image image...
LdrLibraryEx
LdrLibraryEx DLL をメモリにロードするための小さな x64 ライブラリです。 特徴 依存関係と使用関数が少ない ntdll.dll のみを使用 位置独立コード 軽量かつ最小限 使いやすい メモリからモジュールをロード ディスクからモジュールをロード API セットのサポート イメージロードコールバックのバイパス プライベートメモリを使用 遅延インポート、TLS、SEH などを含むイメージのサポート ドキュメント ライブラリフラグ フラグは組み合わせることができます LIBRARYEXNONE: ディスクからモジュールをメモリにマップし、エントリポイントを実行します。...
RefleXXion
Introduction RefleXXion is a utility designed to aid in bypassing user-mode hooks utilised by AV/EPP/EDR etc. In order to bypass the user-mode hooks, it first collects the syscall numbers of the NtOpenFile, NtCreateSection, NtOpenSection and NtMapViewOfSection found in the LdrpThunkSignature arra...
voidsyscall
voidsyscall English | 简体中文 | 조선어 | Русский Zero WinAPI. Every NT primitive resolved at runtime from ntdll in memory — SYSCALL instructions issued directly via Plan9 assembly stubs, no import table, no ntdll usermode hooks touched. C2 over HTTPS / DNS / ICMP, AES-256-GCM per message. Windows nativ...
stealth_call
これは何か？ Windows x64向けのヘッダーオンリーライブラリで、ntdllのインポートに触れることなく、バイナリに文字列を残すことなく、EDRを混乱させるような一般的なレッドフラグなしで、任意のNTシステムコールを呼び出すことができます。 CRTなし。STLなし。IATなし。全体で約19KBにコンパイルされ、DLL依存関係は文字通りゼロです。 既存のシステムコールライブラリの一般的な落とし穴（平文文字列、既知のハッシュ定数、非ntdllメモリからの直接システムコール、「何か変なことをしている」と叫ぶIATインポート、SECNOCHANGE...
CVE-2019-12899
Delta Electronics DeviceNet Builder 2.04 has a User Mode Write AV starting at ntdll!RtlQueueWorkItem+0x00000000000005e3...
