133 matches found
HallWatch
HallWatch Copyright C 2026 Adam Zypherion — licensed under GPL-3.0. Indirect syscalls are simple once you have seen one. The loader walks ntdll, reads the SSN out of Nt prologue, finds the 0F 05 two bytes further in, sets r10/rax/rdx/r8/r9 itself, and jmps straight at those two bytes. The syscall...
NTDLL-Unhook
NTDLL 脱钩 通过原生API实现正确的ntdll.dll .text节脱钩。支持x86/x64/wow64。 工作原理 程序遍历PEB定位ntdll.dll基地址，手动解析PE导出表以解析NT...
MalDev
MalDev ¡Hola! Bienvenido a mi repositorio : Soy Captain Magma, una persona apasionada dedicada a la ciberseguridad, el desarrollo de malware y el análisis. El propósito de este repositorio es gestionar mi camino de aprendizaje en MalDev mientras aprendo y actualizo este repositorio con mis notas ...
nim-loader
nim-loader 通过拼凑资源来学习nim，创建一个实现常见EDR/AV规避技术的shellcode加载器，这是一个非常粗糙的进行中的冒险。 这很混乱，仅供研究目的！请不要指望它不经你自己的修改就能编译和运行。 使用说明 将 loader.nim 中的字节数组替换为你自己的 x64 shellcode 编译EXE并运行：nim c -d:danger -d:strip --opt:size "loader.nim" 可能要通过查看你使用的注入文件夹方法中的 .nim 文件来调整要注入到的进程... 已完成功能 从NTDLL动态解析的直接系统调用（感谢 @ShitSecure）...
NyxInvoke
NyxInvoke NyxInvoke es una herramienta versátil basada en Rust diseñada para ejecutar ensamblados .NET, comandos/scripts de PowerShell, Beacon Object Files BOFs y archivos PE, con capacidades integradas de desenganchado de Ntdll Ntdll Unhooking y evasión sin parches de AMSI y ETW. Puede compilars...
stealth_call
¿Qué es esto? Librería de solo cabecera para Windows x64 que te permite invocar cualquier syscall de NT sin tocar los imports de ntdll, sin dejar cadenas en tu binario y sin las banderas rojas habituales que hacen que los EDR pierdan la cabeza. Sin CRT. Sin STL. Sin IAT. Todo se compila hasta 19K...
WTSRM
WTSRM - Repositorio de demostración de Writing Tiny Small Reliable Malware para mi correspondiente charla. Desengancha todas las DLL de Windows con \KnownDlls\ Sin dependencias de CRT Tamaño reducido Baja entropía Clave de cifrado de cadenas aleatoria por lo tanto, sin cadenas en texto plano...
MemFiles
MemFiles AVISO LEGAL: Este proyecto es complejo; no entender cómo funciona y no probarlo adecuadamente puede provocar que los Beacons se bloqueen y que pierdas el acceso. Recomiendo encarecidamente leer toda la documentación hasta la sección "Detalles técnicos, consideraciones de diseño y...
ntqueueapcthreadex-ntdll-gadget-injection
🧪 NtQueueApcThreadEx NTDLL Gadget Injection Introducción Esta novedosa forma de usar NtQueueApcThreadEx abusando de los parámetros ApcRoutine y SystemArgument0-3 pasando un gadget pop r32; ret aleatorio puede usarse para inyección de código sigilosa. Dentro de este PoC, el gadget en este caso se...
ntdlll-unhooking-collection
Este repositorio no tiene un README...
NTDLLReflection
NTDLLReflection Evita los hooks de EDR en Userland cargando un Ntdll reflectivo en memoria desde un servidor remoto basado en el ReleaseID de Windows para evitar abrir un manejador de ntdll, y activar las APIs exportadas desde la tabla de exportaciones...
PE-Obfuscator
PE-Obfuscator Ofuscador de PE pensado para la evasión , necesita Privilegios de administrador para cargar el controlador RTCore64. Vídeo: https://user-images.githubusercontent.com/123980007/234171901-c1eb735e-ceca-481d-9310-02ba30f6836b.mp4 El Ofuscador : root@kitploit: - Obtiene el PE fileless...
Fuck-Etw
「⚙️」Bypass ETW y Desenganche de Ntdll Bypass del seguimiento de eventos de Windows ETW y desenganche de ntdll. root@kitploit: |\ /| | \ /\ \ /|\ /| | /| || /| \ / /| / | | | | | | || | | / / | | | | | | | | | | | || | | | | | | | | | | | | | || | | \ \ | | | | || || | | | || /| / \ | /\ | |...
CallstackSpoofingPOC
Spoofing de pila de llamadas + POC de syscalls indirectas Este proyecto consiste en un dropper simple de autoinyección en C++ centrado en un POC de evasión de EDR. Para implementarlo, he combinado el uso de Windows Thread Pooling para ocultar la pila de llamadas y el uso de indirect syscalls para...
LdrLibraryEx
LdrLibraryEx Una pequeña librería x64 para cargar dll's en memoria. Características bajas dependencias y uso de funciones solo se usa ntdll.dll código independiente de posición ligera y mínima fácil de usar cargar módulos desde memoria cargar módulos desde disco soporte para api sets omite los...
RefleXXion
简介 RefleXXion 是一款旨在帮助绕过 AV/EPP/EDR 等安全产品所实施用户态钩子的工具。为了绕过用户态钩子，它首先收集 LdrpThunkSignature 数组中的 NtOpenFile、NtCreateSection、NtOpenSection 和 NtMapViewOfSection 系统调用编号。之后，用户可以选择两种技术来绕过用户态钩子。 技术一：从 C:\Windows\System32\ntdll.dll 文件中读取 NTDLL。解析后，用干净的 NTDLL 的 .TEXT 段替换内存中已加载的 NTDLL（即钩子所在位置）的 .TEXT 段。...
voidsyscall
voidsyscall English | 简体中文 | 조선어 | Русский Zero WinAPI. Every NT primitive resolved at runtime from ntdll in memory — SYSCALL instructions issued directly via Plan9 assembly stubs, no import table, no ntdll usermode hooks touched. C2 over HTTPS / DNS / ICMP, AES-256-GCM per message. Windows nativ...
CVE-2019-12899
Delta Electronics DeviceNet Builder 2.04 has a User Mode Write AV starting at ntdll!RtlQueueWorkItem+0x00000000000005e3...
