hollows_hunter

hollowshunter Hollows Hunter は、PE-sieve パッシブメモリスキャナをベースにしたコマンドラインアプリケーションです。さまざまな悪意あるインプラント（置換/埋め込まれた PE、シェルコード、フック、インメモリパッチ）を認識し、ダンプします。PE-sieve では PID によってのみプロセスを選択できますが、Hollows Hunter では以下のようなさまざまな条件で選択できます： PID のリスト 名前のリスト 作成時刻（Hollows Hunter の実行時刻からの相対）...

ProcessInjection

ProcessInjection 该程序旨在执行进程注入。 目前该工具支持 5 种进程注入技术。 root@kitploit: 1 Vanilla Process Injection 2 DLL Injection 3 Process Hollowing 4 APC Queue 5 KernelCallbackTable Injection 该工具接受 4 种格式的 shellcode。 root@kitploit: 1 base64 2 hex 3 c 4 raw 该工具支持 4 种进程注入方法。 root@kitploit: 1 P/Invoke 2 D/Invoke 3 Direc...

SharpBlock

SharpBlock エントリポイントの実行を防ぐことで、EDRのアクティブプロジェクションDLLをバイパスする方法。 特徴 EDR DLLのエントリポイント実行をブロックし、EDRフックが配置されるのを防ぎます。 ランタイムでAmsi.dllのコードパッチを検出するスキャナーから検出されない、パッチレスのAMSIバイパス。 ディスク、HTTP、または名前付きパイプ（Cobalt Strike）からロード可能なインプラントPEに置き換えられるホストプロセス。 インプラントプロセスは非表示になり、プロセス空洞化を検出するスキャナーを回避するのに役立ちます。...

patriot

Patriot 用于检测各种内存隐身技术的小型研究项目。 下载最新版本 此处。 当前版本支持以下检测： 指向 VirtualProtect 函数的可疑 CONTEXT 结构。（针对 Austin Hudson Foliage 和 Cracked5pider 的 Ekko 的研究）。 验证内存中的 MZ/PE 头，以检测进程空洞化变种。 在高完整性级别运行的无后盾可执行区域。 用于模块践踏/覆盖的已修改代码。 其他各种异常。...

ghost

Fantasma Fantasma es una herramienta de detección de inyección de procesos escrita en Rust. Vigila los procesos en ejecución e intenta detectar cosas sospechosas como inyección de código, manipulación de memoria y otros trucos que el malware utiliza para ocultarse. Lo que hace La idea principal e...

PELoader

PELoader PELoaderは、様々なシェルコードインジェクション技術を実装し、libpeconvライブラリを使用して、リモートスレッドにシェルコードを注入する代わりに、暗号化されたPEファイルをロードします。 以下の技術が実装されています: Module Stomping LoadLibrary Module Stomping NtMapViewOfSection PoC Transacted Hollowing PoC Ghostly Hollowing PoC Herpaderply HollowingPoC NtMapViewOfSection RWX-RW-RX...

pe-sieve

はじめに PE-sieve は、システム上で実行されているマルウェアを検出し、さらに分析のために悪意のある可能性のある材料を収集するのに役立つツールです。スキャン対象プロセス内のさまざまなインプラント（置換・インジェクションされたPE、シェルコード、フック、その他のメモリパッチ）を認識し、ダンプします。 インラインフック、Process Hollowing、Process Doppelgänging、Reflective DLL Injection などを検出します。 PE-sieve は、軽量エンジン として設計されており、一度に単一のプロセス をスキャンします。EXE または DLL...

process_overwriting

プロセス上書き Process Overwriting は、Process Hollowing や Module Overloading に密接に関連する PE インジェクション手法です。 この手法を使用すると、対象プロセスのメイン実行可能ファイル（DLL 以外）を置き換えることができます。 これは新しく作成されたプロセスに対してのみ機能し、既存のプロセスへのインジェクションはこの手法ではサポートされていません。 警告: ターゲットイメージのサイズは、ペイロードイメージのサイズよりも小さくてはなりません 。 実行手順: 1. 良性ファイルから（CFG...

Sharperner

Sharperner Sharperner は、AES および XOR で難読化されたシェルコードを使用して .NET ドロッパーを生成する CSharp 製のツールです。生成された実行ファイルはシグネチャチェックを回避できる可能性がありますが、ヒューリスティックスキャンを回避できるかは確かではありません。 機能 PE バイナリ プロセス・ホローイング PPID スプーフィング ランダム生成された AES キーと IV 最終的なシェルコード、キー、IV はモールス信号に変換されます : .NET バイナリ AES + XOR 暗号化されたシェルコード APC プロセスインジェクション...

avet

アンチウイルス回避ツール AVETは技術開発および時間的制約により、これ以上開発されません。 AVETは、ペネトレーションテスターの作業を容易にし、アンチウイルス回避技術やマルウェアが使用するその他の手法を実験するために開発されたアンチウイルス回避ツールです。 v2.4 の新機能や過去のバージョンアップの概要については、CHANGELOG ファイルをご覧ください。 目次 インストール Docker 簡単な方法 標準的な方法 ドキュメント クリックして展開 データ取得方法 暗号化とエンコーディング サンドボックス回避 追加コマンド実行 ヘルパーツール AVET & metasploit...

PichichiH0ll0wer

PichichiH0ll0wer PichichiH0ll0wer 关于 功能 注入方法 安装 用法 致谢 关于 --== 仅限PE的Nim编写的进程空心化加载器 ==-- 我构建PichichiH0ll0wer是为了学习并做出贡献，当然。但也因为我非常厌倦到处都是shellcode。加载PE可能不那么隐蔽，我知道，但它仍然高效，并且比每次将PE有效载荷转换为shellcode（并不总是顺利）更方便。此外，PichichiH0ll0wer有一些功能来保护你的有效载荷。仅支持x64 EXE。 功能 可配置构建器 有效载荷在空心加载器中加密并压缩（可选分割） 支持使用多个进程进行分割注入...

Vidar-Stealer-Reverse-Engineering

Vidar Stealer 2.0 リバースエンジニアリング分析 概要 本分析では、高度な回避技術を駆使して検出を免れる洗練された情報窃取型マルウェア Vidar Stealer 2.0 の徹底的なリバースエンジニアリングについて説明します。主な発見には以下が含まれます。 タスクスケジューラの改ざん: システムタスクのタイムスタンプを1999年に変更し、フォレンジック解析を回避します。 Explorer.exe のプロセスハローイング: 正当な Windows Explorer プロセスにシェルコードを注入します。 Microsoft Copilot への注入: ステルス実行のために新し...

memhunter

Memhunter Automated hunting of memory resident malware at scale This project is WORK IN PROGRESS. Expect feature changes and binary releases on the upcoming weeks. Overview Memhunter is an endpoint sensor tool that is specialized in detecing resident malware, improving the threat hunter analysis...

hollows_hunter

hollowshunter Hollows Hunter is a command-line application based on PE-sieve passive memory scanner. Recognizes and dumps a variety of potentially malicious implants replaced/implanted PEs, shellcodes, hooks, in-memory patches. While in case of PE-sieve you can select the process only by its PID,...

Shinigami

Shinigami Shinigami 是一款实验性工具，旨在检测并解包通过进程镂空（process hollowing）或通用加壳例程注入的恶意软件植入体。 工作原理 该工具通过挂钩与进程镂空相关的 NT 函数，并利用页保护位（page guard bit）标记新近变为可执行的内存页。此技术使 Shinigami 能够检测通常由 shellcode 或解包代码引起的间接流程变更，而这些变更往往表明存在恶意软件。 Shinigami 以挂起状态创建目标可执行文件，并注入一个名为 "Ichigo" 的 DLL...

Kernel-Process-Hollowing

Windows 内核模式进程镂空 该项目是一个概念验证，展示了进程镂空（Process Hollowing）技术在内核层面的工作原理。 资源 SSDT Hook Process Hollowing...

Percino

Percino Loader Evasivo en Golang Percino es un loader en Golang que ejecuta shellcode utilizando la técnica de process hollowing con medidas anti-sandbox y anti-análisis. El shellcode está cifrado con el algoritmo de cifrado Triple DES 3DES. Bypass completo de EDR con cualquier framework C2...

GhostlyHollowingViaTamperedSyscalls2

基于篡改系统调用的幽灵镂空 重新上传说明 !NOTE 原仓库此前使用了不正确的许可证，遗漏了对 DeceptIQ 创始人 @Rad9800 的署名，其 TamperingSyscalls 仓库以 MIT 许可证发布。他的工作已在课程模块（Tampered Syscalls Via Hardware BreakPoints）中获得署名，也已反映在我们的公开第三方许可证页面上。 在意识到这一疏漏后，我们立即更正了原仓库，并在 当天 就联系 Rad 为这一疏忽道歉。尽管我们尽力纠正这一无意中的错误，但他没有回复，并阻断了进一步的沟通。五个月后，我们收到了 DMCA 下架通知，导致原仓库被删除。...

VortexCry-Ransomware-Release

VortexCry-Ransomware VortexCry es un ransomware avanzado que utiliza inyección de procesos en múltiples etapas como Process Hollowing e inyección APC y carga de controladores de kernel mediante la vulnerabilidad CVE-2019-16098. Es capaz de cifrar archivos, destruir las funcionalidades de...

Chrome-App-Bound-Encryption-Decryption

ChromElevator Chrome App-Bound Encryption Decryption 🚀 概述 一个后渗透利用工具，演示了如何完整地在内存中绕过 Chromium 的 应用绑定加密（App-Bound Encryption, ABE） 。本项目利用 基于直接系统调用（Direct Syscall）的反射式进程镂空（Reflective Process Hollowing） 来以挂起状态启动一个合法的浏览器进程，隐蔽地注入载荷以劫持其身份和安全上下文。这种 白加黑（Living-off-the-Land, LOTL）...