PhantomFS

PhantomFS ProjFS 提供程序。投影文件，其内容取决于哪个进程读取它们。有效载荷以 AES-256-CBC 加密存储在磁盘上，仅在运行时在内存中解密。这不应该绕过任何 EDR，因为当允许的进程尝试读取时，有效载荷会被写入磁盘。其他所有进程都会被拒绝访问。这可能会惹恼一些分析人员，因为他们的工具无法读取它，或者只是加载一个诱饵。但你可以很容易地通过重解析点看出这是 ProjFS。 工作流程 root@kitploit: 1 生成密钥： PhantomFS.exe -keygen 2 加密有效载荷： PhantomFS.exe -encrypt mimikatz.exe -key...