PowerShellProfiler

PowerShellProfiler このプロジェクトのコードは https://github.com/pan-unit42/publictools/tree/master/powershellprofiler からのものです。 はじめに PowerShellProfiler.py は、PowerShell スクリプトを静的に解析するためのスクリプトです。コンテンツを難読化解除して正規化し、その後、行動指標としてプロファイリングします。これらの挙動はスコア化され、その合計によって PowerShell スクリプトの潜在的なリスクレベルが示されます。これは、PowerShell...

LeetObfuscator

LeetObfuscator ██╗ ███████╗███████╗████████╗ ██║ ██╔════╝██╔════╝╚══██╔══╝ ██║ █████╗ █████╗ ██║ ██║ ██╔══╝ ██╔══╝ ██║ ███████╗███████╗███████╗ ██║ ╚══════╝╚══════╝╚══════╝ ╚═╝ ██████╗ ██████╗ ███████╗██╗ ██╗███████╗ ██████╗ █████╗ ████████╗ ██████╗ ██████╗ ██╔═══██╗██╔══██╗██╔════╝██║...

powerglot

Powerglot Powerglotは、ポリグロットを使用して、例えば攻撃的なPowerShellスクリプトなど、数種類のスクリプトをエンコードします。ペイロードを実行するためにローダーは必要ありません。...

noisy

Noisy 通常のウェブブラウジング中にバックグラウンドでランダムなHTTP/DNSトラフィックノイズを生成するシンプルなPythonスクリプトです。これにより、Webトラフィックデータの販売価値を下げ、さらに曖昧さを高めることができます。 MacOS High Sierra、Ubuntu 16.04、Raspbian Stretchでテスト済みで、Python 2.7および3.6の両方に対応しています。 はじめに 以下の手順に従って、このプロジェクトのコピーをローカルマシンで実行できるようにします。 依存関係...

avpass

AVPASS AVPASS is a tool for leaking the detection model of Android malware detection systems i.e., antivirus software, and bypassing their detection logics by using the leaked information coupled with APK obfuscation techniques. AVPASS is not limited to detection features used by detection system...

avpass

AVPASS AVPASSは、Androidマルウェア検出システム（すなわち、アンチウイルスソフトウェア）の検出モデルを漏洩し、漏洩した情報とAPK難読化技術を組み合わせてその検出ロジックを回避するためのツールです。AVPASSは検出システムが使用する検出特徴に限定されず、検出ルールも推論できるため、APKバイナリを自動的に変換することで、あらゆるAndroidマルウェアを良性アプリケーションに偽装できます。変換中のアプリケーションロジックの漏洩を防ぐために、AVPASSはImitation...

Chimera

Chimeraは、AMSIやアンチウイルスソリューションをバイパスするために設計された（派手で非常にハックな）PowerShell難読化スクリプトです。AVをトリガーすることで知られる悪意のあるPS1を消化し、文字列置換と変数連結を使用して一般的な検出シグネチャを回避します。 Chimeraはこのwrite-upのために作成され、検出シグネチャをバイパスすることがいかに簡単であるかを示すさらなる証拠です。このリポジトリが誰かに堅牢で信頼性の高いものを作るきっかけとなることを願っています。 Chimeraの仕組み…...

PowerShell-Pro-Obfuscator-Python

PowerShell Pro Obfuscator — PowerShellコードの難読化と仮想化 PowerShell Pro Obfuscator は、プロプライエタリな .ps1 スクリプトを、リネーム、ポリモーフィックな文字列・整数暗号化、制御フロー平坦化、有限状態オートマトン（FSA）、VMエンジン、自己防御型の整合性チェック、保護リンカー、アンチデバッグプローブで保護します。 ポリモーフィックな文字列暗号化、VMエンジン、有限状態オートマトン変換、自己整合性・アンチデバッグチェックにより、PowerShell .ps1 スクリプトを難読化・仮想化・保護します —...

-CVE-2024-6095

主な強化点: 1. ランダム文字列による難読化 : パスを難読化するためにランダム文字列生成を導入し、検出を困難にしました。 2. 高度なペイロード : セキュリティ機構を回避するために、さまざまな難読化技術を備えたより洗練されたペイロードを追加しました。 3. カスタムヘッダー : 異なる正規のトラフィックを模倣し、追加の難読化層を提供するためにカスタムヘッダーを含めました。 4. ランダムな遅延 : 不正侵入検知・防御システム（IDS/IPS）のトリガーを避けるために、リクエスト間にランダムな遅延を組み込みました。 5. 強化されたレスポンス処理 :...

AutoIt-Obfuscator

AutoIt Obfuscator — AutoIt スクリプトソースコード用難読化ツール AutoIt Obfuscator は、AutoIt スクリプトのソースコードを、難読化されたコードの解析を非常に困難にする方法で変更するツールです。 より詳細な技術情報、ダウンロード、ドキュメントは以下で入手できます: https://www.pelock.com/products/autoit-obfuscator オンラインインターフェース: https://www.pelock.com/autoit-obfuscator/ ソースコードの難読化とは? 難読化とは、AutoIt...

CrackMeZ3S-CTF-CrackMe-Tutorial

CTFコンペティション用のCrackMeの書き方 CTF（キャプチャ・ザ・フラッグ）コンペティションの人気が高まり、 Dragon Sectorのようなポーランドのチームがこの分野で素晴らしい成績を収めている中、 解析やクラッキングを困難にする創造的なテクニックを使った、 シンプルなCrackMeの構築を紹介するのは興味深いことだと思いました。 リバースエンジニアリングに興味がある方、CTFコンペティションに参加したことがある方、 あるいは自分だけのCrackMeを作って他の参加者を悩ませたいと思っている方、これはあなたのための記事です。 英語版の完全な記事...

cobaltstrike-sleepmask-yara

cobaltstrike-sleepmask-yara これは、https://codex-7.gitbook.io/codexs-terminal-window/blue-team/detecting-cobalt-strike/sleep-mask-kit-iocs で見つけた sleepmask 検出ルール用の git リポジトリです。 tl;dr これらのバイトは sleep mask kit 難読化されていない .text セクション 自体の一部であり、スリープ中も難読化されません。組み込みの sleepmasking...

Cronos

Cronos このプロジェクトの共著者 説明 待機可能タイマーを利用して現在のプロセスをRC4で暗号化し、メモリスキャナーを回避するために権限をRWからRXに変更する、新しいスリープ難読化テクニック（Ekko に基づく）のPoCです。 より詳細な説明はブログ記事で公開される予定です。 使い方 使用するには、Cronosをプロジェクトに含めて、次のように使用するだけです： include "Cronos.h" int main int timesToExecute = 1337; int seconds = 10; for int i = 0; i...

TickTock

TickTock このリポジトリは、Ekko Sleep Obfuscation で使用されるタイマーキュー タイマーを列挙する PoC メモリスキャナのデモです: https://github.com/Cracked5pider/Ekko。完全な技術解説については、付随するブログ記事をご覧ください: https://labs.withsecure.com/publications/hunting-for-timer-queue-timers.html。 以下のスクリーンショットは、Ekko 実行中にタイマーキュー タイマーをスキャンした結果を示しています: NB 注意点として、この P...

XorStringsNET

XorStringsNET .NETバイナリ用のシンプルかつ高速なXORベース文字列暗号化ツール XORStringsは、RXORと呼ぶシンプルなXORベースの暗号を実装しています。RXORは文字列を暗号化するだけでなく、文字の順序も反転させます。各文字列は一意のキーで暗号化されます。復号ルーチンで使用される引数もXOR暗号化されます。 仕組み XorStrings.exe コマンドラインを使用するか、難読化対象のバイナリをXorStrings実行ファイルにドラッグ＆ドロップしてください。 XORStringsは.NET Framework 4.6+および.NET...

Payload-Download-Cradles

Payload Download Cradles これは、ダウンロードクレイドル検出の文脈において AV/EPP/EDR をバイパスするための新しいダウンロードクレイドルを考案・作成する際の インスピレーションとなる、さまざまなタイプのダウンロードクレイドルです。なお、ダウンロードクレイドルからシグネチャを削除または難読化することは、 AV/EPP/EDR をバイパスするためのパズルの1ピースに過ぎません。それぞれの製品に応じて、API-Hooking、コールバック、AMSI などをバイパスするために、 クレイドルがダウンロードするペイロード自体も変更する必要があります。 Daniel...

packer-tutorial

目次 1. パッカーとは何か？ : パッカーの目的の紹介と、パッカーに必要な開発要素についてのガイド。 2. 前提条件 : このチュートリアルで使用するために必要なツール。 3. 実際に試す : このチュートリアルで構築する内容のデモ。 4. CMakeプロジェクトの設計 : パッカーのやや複雑なニーズに合わせたビルドシステムを構築するためのミニCMakeチュートリアル。 5. バイナリをスタブにパックする : パッカー/スタブの組み合わせのうちパッカー部分を書く方法のチュートリアル、およびWindows実行可能ファイル形式の入門。 1. リソースの管理 2. PEファイルの解析 3...

blenny

Blenny は、Windows 向けの概念実証（PoC）ペイロード難読化ツールであり、実行ファイルのアイコン内に実行可能なペイロードデータを隠します。名前は sabre-toothed blenny fish に由来しており、この魚はクリーナー・フィッシュの行動と見た目を模倣して、油断した魚を捕食します。 なぜ作ったのか？ 正確な経緯は覚えていませんが、retr0id（@DavidBuchanan314）というハッカーが、実行ファイルのアイコン内にペイロードを隠すというアイデアを持ち出しました。PNG ファイルのさまざまな特性と、Windows のアイコンファイルには PNG...

dark-doh

dark-doh.exe 公開版 目的: DoH 経由でファイルをダウンロードする、またはシェルコードをダウンロードして実行する（公開版には未実装） 実行例: dark-doh.exe file1 download google yourdomain.com DNSゾーン生成用のPythonサポートスクリプトを追加（py-prepzones.py）。 !!! 免責事項 !!! 作者は、dark-doh.exe をどのように使用するかについて、一切の責任を負いません。...

ropfuscator

免責事項 ROPfuscator は研究用の Proof of Concept（概念実証）であり、本番環境での使用を意図していません。著者らは、本ソフトウェアの使用について一切の責任を負いません。十分に注意し、自己責任で使用してください。 ROPfuscator ROPfuscator は、ROP（return-oriented programming）を用いた、LLVM がサポートする言語向けの細粒度コード難読化フレームワークです。 ROPfuscator は、通常の命令を ROP...