chain-reactor

Chain Reactor Chain Reactor 是一个用于测试 Linux 机器上检测与响应覆盖率的开源工具。该工具生成可执行文件，用于模拟进程创建、网络连接等操作序列。Chain Reactor 不需要事先具备工程经验；该工具使用 JSON，因此自定义其行为就像编辑一个文件一样简单。 开始使用 有关安装和使用说明，请参阅 wiki 的入门页面。 了解更多 Chain Reactor 文档以 wiki 形式提供。 有关原子项目系列的理念和开发信息，请访问我们的网站 https://atomicredteam.io。 请查看许可证了解有关分发和修改 Chain Reactor 的信...

fake-sandbox

伪造沙箱进程 FSP 这个小脚本会模拟分析工具、沙箱和虚拟机软件的虚假进程，有些恶意软件会试图避开这些进程。 你可以从这里下载由 @x0rz 编写的原始脚本（顺便说一句，感谢他）。 你也可以从根目录下载我稍作优化的脚本。该文件名为 fsp.ps1。这个脚本也用于 FSP 安装程序中。 脚本功能 某些（更高级的）间谍软件只要这些创建的进程在运行，就可能停止正常执行。 要求：Powershell（Windows 7 及更高版本预装），仅此而已。 完全不占用系统负载（几乎）。 安装程序功能 自动将脚本安装到你的自启动目录，这样你就不必在每次重新登录时手动执行它。 要求：仅需 Powershel...

detection-validation

Detection-Validation 用途 该工具可自动化模拟恶意进程事件的过程，无需实际搭建真实进程环境。 假设你想测试 w3wp.exe 派生 Powershell 的场景，你需要通过 IIS 配置来模拟 w3wp.exe 事件；如果你有许多规则需要验证，这会是一项非常耗时的工作。由于检测引擎通常基于来自 Sysmon 或 EDR 等遥测收集工具的简单字符串匹配来工作，任何具有相同父进程名、子进程名、命令行和路径的二进制文件都可以用来测试逻辑，因此无需配置 IIS 即可模拟该行为。...

IRONGATE ICS Malware: Nothing to See Here...Masking Malicious Activity on SCADA Systems

In the latter half of 2015, the FireEye Labs Advanced Reverse Engineering FLARE team identified several versions of an ICS-focused malware crafted to manipulate a specific industrial process running within a simulated Siemens control system environment. We named this family of malware IRONGATE...