Invoke-PSImage

Invoke-PSImage PowerShell 스크립트를 PNG 파일의 픽셀에 인코딩하고 실행할 원라이너를 생성합니다 Invoke-PSImage는 PowerShell 스크립트를 가져와 해당 스크립트의 바이트를 PNG 이미지의 픽셀로 인코딩합니다. 파일에서 또는 웹에서 실행할 원라이너를 생성합니다. 페이로드 데이터만 사용하여 새 이미지를 생성하거나, 기존 이미지의 최하위 바이트에 페이로드를 삽입하여 실제 사진처럼 보이게 할 수 있습니다. 이미지는 PNG로 저장되며, 데이터가 색상 자체에 저장되므로 무손실 압축이 가능하며 페이로드...

sccmsqlclient

sccmsqlclient SCCM データベースの探索と悪用のための専用 MSSQL クライアントです。 偵察クエリ 管理対象クライアントでの PowerShell スクリプト実行 シークレットの抽出 インストール PIPX $ pipx install git+https://github.com/synacktiv/sccmsqlclient/ PIP リポジトリをクローンして依存関係をインストールすることで導入できます。 $ git clone https://github.com/synacktiv/sccmsqlclient $ cd sccmsqlclient $...

nimrm

nimrm Nimで書かれたネイティブWinRMシェルクライアント バージョン 1.2.0 · 作者 Chokri Hammedi blue0x1 · ライセンス MIT 法的通知 nimrm は、自身が所有する、または明示的にアクセス許可を得たシステムに対する合法的な管理、セキュリティテスト、および研究を目的としています。作者は、本ツールの誤用またはそれによって引き起こされた損害について責任を負いません。 目次 概要 機能 要件 インストール ビルド パフォーマンス 使用方法 オプション 対話型コマンド セッション管理 例 注意事項 ライセンス 概要 nimrm...

DSCourier_BOF

DSCourier BOF 이것은 Dylan Davis와 Matthew Schramm의 DSCourier 프로젝트의 BOF 구현입니다. WinGet의 COM 인터페이스를 사용하여 Microsoft에서 서명하고 신뢰하는 프로세스에서 임의의 powershell 코드를 실행합니다. 전체 연구 블로그는 여기에서 확인할 수 있습니다. 내가 출시하는 대부분의 프로젝트와 달리, 이 도구는 운영 준비가 된 도구가 아니라 오히려 POC에 가깝습니다. 이 BOF를 쉽게 배포할 수 있도록 하는 데 방해가 되는 여러 문제를 발견한 후 더 이상 추진하...

PowerShx

SharpShx DLL이나 독립 실행 파일을 사용하는 비관리형 PowerShell 실행. 소개 PowerShx는 PowerShdll 프로젝트를 재작성하고 확장한 것입니다. PowerShx는 AMSI 우회 및 PS Cmdlet 실행 기능을 제공합니다. 기능 rundll32.exe, installutil.exe, regsvcs.exe, regasm.exe, regsvr32.exe를 사용하여 DLL로 PowerShell 실행 powershell.exe 또는 powershellise.exe 없이 PowerShell 실행 AMSI 우회...

Sunflower Simple and Personal 1.0.1.43315 - Remote Code Execution

Sunlogin Sunflower Simplified aka Sunflower Simple and Personal 1.0.1.43315 is vulnerable to a path traversal issue. A remote and unauthenticated attacker can execute arbitrary programs on the victim host by sending a crafted HTTP request, as demonstrated by /check?cmd=ping../ followed by the...

DKMC

Don't Kill My Cat DKMC WINDOWS 10은 이제 셸코드 페이로드가 제대로 실행되는 것을 제한합니다. 셸코드를 디코딩하고 실행하기 위해 RWX 페이지가 필요하기 때문입니다. DKMC는 적절한 권한으로 메모리 페이지를 설정하도록 업데이트할 수 있습니다. Don't kill my cat은 폴리글롯 이미지 내부에 저장된 난독화된 셸코드를 생성하는 도구입니다. 이미지는 100% 유효하며 동시에 100% 유효한 셸코드입니다. 간단한 "합법적인" 이미지이기 때문에 샌드박스 분석을 회피하는 것이 아이디어입니다. 현재 이...

CcmMessagingBackdoor

CcmMessagingBackdoor Management Point 上でアクセスを維持するために、不正な CcmMessaging サービスを構築・インストールする Proof of Concept ツール 使用法 Management Point 上で不正な COM サービスをコンパイルしてインストールします Compile PS C:\ C:\Windows\Microsoft.NET\Framework64\v2.0.50727\csc.exe /t:library /out:c:\rogue.dll RogueCcmEndpoint.cs Register CLSID P...

Dropper-GCleaner-C2-Infrastructure-Kernel-Driver-PowerShell-Conhost-Payload-Analysis

1. C2インフラストラクチャ – 耐障害性と冗長性を備えたサーバー Process Hackerのメモリ解析により、Dropper GCleanerがC2通信に使用するドメインの包括的なリストが明らかになりました。これらのドメインはさまざまなプラットフォーム（Scaleway、Render、Replitなど）でホストされており、堅牢で冗長性のあるインフラストラクチャを示しています。 主な観察結果: ホスティングプロバイダー: Scaleway scw.cloud、Render onrender.com、Replit repl.co など。 ドメイン:...

Follina_MSDT_CVE-2022-30190

Microsoft は、「Word などの呼び出し元アプリケーションが URL プロトコルを使用して MSDT...

Malicious code in better-envforge (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 1f30026347d1db5e0ade5afe4b81a8569eb6ec0c41d1e1fa79f66dc386a6ea51 [email protected] presents itself as a dotenv-style environment configuration toolkit, but the bundled package.json inside dist/cli.cjs identifie...

MAL-2026-16324 Malicious code in better-envforge (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 1f30026347d1db5e0ade5afe4b81a8569eb6ec0c41d1e1fa79f66dc386a6ea51 [email protected] presents itself as a dotenv-style environment configuration toolkit, but the bundled package.json inside dist/cli.cjs identifie...

Malicious code in @solana-js/web3 (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 9b539591552f3e960f65ceb70d946bc56f240f9bdb1400c501723aa32fd305ec Package name @solana-js/web3 impersonates the legitimate @solana/web3.js SDK, and package.json falsely attributes authorship to 'Solana Labs' with a...

Linux Distros Unpatched Vulnerability : CVE-2026-71312

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available. - rclone is a command-line program to sync files and directories to and from different cloud storage providers. Prior to v1.75.0, rclone interpolates remote SFTP...

PT-2026-68331

Name of the Vulnerable Software and Affected Versions rclone versions prior to 1.75.0 Description In the backend/sftp/sftp.go file, the software interpolates remote SFTP paths into PowerShell hash commands. The quoteOrEscapeShellPath function only escapes ASCII apostrophes, failing to account for...

Malicious code in tailwind-gutenberg-block-zero (npm)

The npm package tailwind-gutenberg-block-zero is a supply-chain dropper disguised as a WordPress / Gutenberg block plugin. The published tarball carries the trappings of a real plugin a my-tailwind-blocks.php, a wp-scripts build configuration, a README and a screenshot, but its real behaviour liv...

Windows-MCP: HTTP transports expose unauthenticated PowerShell control with wildcard CORS

HTTP transports expose unauthenticated PowerShell control with wildcard CORSThere is an issue in the SSE and Streamable HTTP transport modes. The default stdio mode is not affected, but the documented HTTP modes expose the MCP control plane without authentication and add wildcard CORS handling...

PYSEC-2026-3425 Windows-MCP: HTTP transports expose unauthenticated PowerShell control with wildcard CORS

HTTP transports expose unauthenticated PowerShell control with wildcard CORS There is an issue in the SSE and Streamable HTTP transport modes. The default stdio mode is not affected, but the documented HTTP modes expose the MCP control plane without authentication and add wildcard CORS handling...

Malicious code in checkmarx-claude-cache (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 26a16e61d88e467ada75205ee93a9339cdf2fb65f3ded068282b4d83b6cb05e9 When the CLI runs the documented npx checkmarx-claude-cache invocation pattern, bin/cli.js performs an HTTPS GET to a hardcoded URL on a lookalike ho...

MAL-2026-6576 Malicious code in checkmarx-claude-cache (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 26a16e61d88e467ada75205ee93a9339cdf2fb65f3ded068282b4d83b6cb05e9 When the CLI runs the documented npx checkmarx-claude-cache invocation pattern, bin/cli.js performs an HTTPS GET to a hardcoded URL on a lookalike ho...