PortBender

概述 PortBender 是一个 TCP 端口重定向工具，允许红队操作员将发往一个 TCP 端口（例如 445/TCP）的入站流量重定向到另一个 TCP 端口（例如 8445/TCP）。PortBender 包含一个攻击者脚本，操作员可以利用该脚本将工具与 Cobalt Strike 集成。但由于该工具以反射 DLL 形式实现，它可以与任何支持通过“ReflectiveLoader”接口加载模块的 C2 框架集成 1。该工具还允许操作员模拟 Duqu 2.0 威胁行为体所使用的“PortServ.sys”能力中的后门/持久化机制。 设计 PortBender 利用 WinDivert...

AceLdr

AceLdr - 规避内存扫描器 一个用于 Cobalt Strike 的位置无关反射加载器。来自 Hunt-Sleeping-Beacons、BeaconHunter、BeaconEye、Patriot、Moneta、PE-sieve 或 MalMemDetect 的检测结果均为零。 功能 易于使用 在生成 shellcode 之前导入单个 CNA 脚本。 动态内存加密 为 Beacon 的任何分配创建新堆，并在休眠前加密条目。 代码混淆与加密 将包含 CS 可执行代码的内存更改为不可执行并加密（FOLIAGE）。 执行时返回地址欺骗 某些 WinAPI...

CrabLoader

CrabLoader Un cargador reflectante definido por el usuario User-Defined Reflective Loader para Cobalt Strike, escrito íntegramente en Rust. Solo quería averiguar lo difícil que sería construirlo. Resulta que no es tan difícil. Puede que añada una función de ofuscación de suspensión sleep...

pe-sieve

Intro PE-sieve is a tool that helps to detect malware running on the system, as well as to collect the potentially malicious material for further analysis. Recognizes and dumps variety of implants within the scanned process: replaced/injected PEs, shellcodes, hooks, and other in-memory patches...

pe-sieve

简介 PE-sieve 是一款帮助检测系统中运行的恶意软件，并收集潜在恶意材料用于进一步分析的工具。它能够识别并转储被扫描进程中的多种植入物：替换/注入的PE、shellcode、钩子以及其他内存补丁。 可检测内联钩子、Process Hollowing、Process Doppelgänging、反射式DLL注入等。 PE-sieve 旨在成为一个轻量级引擎 ，专门用于一次扫描一个进程 。它可以构建为EXE或DLL。DLL版本暴露了一个简单的API，可以轻松与其他应用程序集成。 📦 使用库：libPEConv 帮助 ❓ 常见问题解答 - 常见问题 📖 阅读 Wiki 🤔...

sRDI

sRDI - Shellcode 反射式DLL注入 sRDI 允许将 DLL 文件转换为位置无关的 shellcode。它试图成为一个功能完整的 PE 加载器，支持正确的节权限、TLS 回调和完整性检查。可以将其视为一个绑定了打包 DLL 的 shellcode PE 加载器。 功能通过两个组件实现： C 项目，编译 PE 加载器实现（RDI）为 shellcode 转换代码，将 DLL、RDI 和用户数据通过引导程序连接在一起 本项目包含以下元素： ShellcodeRDI： 编译 DLL 加载器的 shellcode NativeLoader： 必要时将 DLL 转换为...

CustomLoadImage

CustomLoadImage CustomLoadImage permite la carga reflectiva sigilosa de ensamblados .NET. Esto se logra llamando directamente a AssemblyNative::LoadFromBuffer , asegurando que los ganchos colocados en RuntimeAssembly.nLoadImage no se ejecuten. Por favor, deja una estrella si este proyecto te ayud...

zig-pe

zig-pe Cargador de PE reflexivo escrito en Zig. Carga y ejecuta archivos PE nativos y .NET directamente desde la memoria. Características Pipeline de Carga de PE Analizar cabeceras DOS y NT PE32 y PE32+ en tiempo de ejecución Mapear secciones en memoria asignada Resolver importaciones por nombre ...

Nemesis

Nemesis 明天将推送更新，更改许可证，并新增一些针对数据窃密者的防护手段。 我做了这个 Windows 工具，因为我厌倦了在恶意软件样本中看到一堆 jlaive 的 fork，却没有一个公开的工具能在运行时真正把它们拆解开来。 简而言之，它是一个 .NET 进程监视器，在原生层挂钩 CLR，跟踪反射式程序集加载，并直接从内存中自动转储 PE。它还会对照原始磁盘二进制文件检查 AMSI 和 ETW 的完整性，同时检测诸如 clr.dll 字符串修补和直接 LoadFromBuffer 使用等绕过技术。 在哪里找样本？我建议看看...

Astral_Projection

Astral Projection - UDRL Astral Projection 是一个 Cobalt Strike UDRL（用户定义反射加载器），它执行高级模块隐藏。 该 UDRL 使用 LoadLibraryExW 加载一个模块，然后通过设置 VEH 来拦截关键调用，从而操纵其内部结构，以便窃取牺牲 DLL 的节句柄并提升其访问权限，供后续在睡眠掩码中使用。在睡眠期间，它会取消映射模块，同时保持 PEB 条目不变，然后重新映射一个全新的模块，以避免睡眠期间出现任何 IOC。 该项目使用 Crystal Palace 构建。部分代码取自 Crystal-Kit 项目。...

CustomC2ChannelTemplate

IAT Hooking para canales C2 personalizados Esta es una PoC simple y una plantilla para desarrollar canales C2 personalizados para Cobalt Strike usando hooks de IAT aplicados por un cargador reflectante. Publicación del blog:...

hollows_hunter

hollowshunter Hollows Hunter is a command-line application based on PE-sieve passive memory scanner. Recognizes and dumps a variety of potentially malicious implants replaced/implanted PEs, shellcodes, hooks, in-memory patches. While in case of PE-sieve you can select the process only by its PID,...

BokuLoader

BokuLoader : Cobalt Strike 反射加载器 一个概念验证的用户自定义反射加载器 UDRL，旨在重新创建、整合并增强 Cobalt Strike 的规避功能！ 贡献者：...

BeatRev

BeatRev 版本 2 免责声明/责任 以下工作是概念验证，旨在使恶意软件能够针对特定受害者进行“密钥绑定”，从而挫败恶意软件分析人员的工作。 我不对本项目中所包含的任何想法或代码的恶意使用承担任何责任。我提供此研究是为了进一步教育信息安全专业人士，并为恶意软件分析师、逆向工程师和蓝队成员提供额外的培训/思考素材。 TLDR 恶意软件首次在受害者机器上运行时，会使用该受害者的环境数据对实际载荷（一个 RDLL）进行 AES 加密。每次后续运行恶意软件时，它会收集相同的环境信息，对存储在恶意软件内字节数组中的载荷进行 AES...

Nim-RunPE

Nim-RunPE 一个用Nim实现的从内存中反射加载PE的代码。该代码的基础取自RunPE-In-Memory - 我将其移植到了Nim。 您需要安装以下依赖： nimble install ptrmath winim 我仅使用Nim 1.6.2版本进行了测试，因此请使用该版本进行测试，否则无法保证使用其他版本时不会出现错误。 编译 如果您希望在运行时传递参数，或者根本不想传递参数，请通过以下方式编译： nim c NimRunPE.nim 如果您想要硬编码自定义参数，请根据您的需要修改const exeArgs，并使用以下命令编译： nim c -d:args NimRunPE.ni...

ExecuteAssembly

描述： ExecuteAssembly 是 Cobalt Strike execute-assembly 的一个替代方案，使用 C/C++ 构建。它可以通过以下方式加载/注入 .NET 程序集：重用宿主（spawnto）进程已加载的 CLR 模块/AppDomainManager、覆盖加载器/.NET 程序集 PE DOS 头部、解除 .NET 相关模块的链接、绕过 ETW+AMSI、通过 NT 静态系统调用（x64）规避 EDR 钩子，以及通过 SuperFastHash 哈希算法动态解析 API 来隐藏导入。 简要（特性）： 从 PEB 数据结构中解除 CLR 相关模块的链接（使用微...

PrintSpoofer-ReflectiveDLL

Detalles de PrintSpoofer PrintSpoofer es una herramienta que realiza una escalada de privilegios local explotando una vulnerabilidad en el servicio Print Spooler de Windows CVE-2019-1040 / CVE-2019-1019. Este proyecto implementa el exploit PrintSpoofer en formato Reflective DLL , lo que lo hace...

meowEye

🐾 MeowEye MeowEye es un escáner en tiempo real para múltiples vulnerabilidades web. Utiliza un navegador real para observar el tráfico y realizar pruebas basadas en inyección para detectar parámetros reflectantes, inclusión de archivos locales LFI e inyección de plantillas del lado del servidor...

amber

介绍 Amber 是一个位置无关（反射式）PE 加载器，能够实现原生 PE 文件（EXE、DLL、SYS……）的内存中执行。它支持隐蔽的内存内载荷部署，可用于绕过防病毒、防火墙、IDS、IPS 产品以及应用程序白名单缓解措施。Amber 生成的反射式载荷既可以从远程服务器分阶段传输，也可以像通用 shellcode 一样直接在内存中执行。默认情况下，每个生成的载荷都使用新一代 SGN 编码器 进行编码。Amber 使用 CRC32API 和 IATAPI 来隐秘地解析 Windows API 函数地址。PE 文件在内存中加载并执行后，反射式载荷会被擦除以躲避内存扫描器。 安装...

CoercedPotatoRDLL

Coerced Potato Reflective DLL Escalada de privilegios de servicio NT a SYSTEM utilizando el privilegio SeImpersonateToken y las funciones MS-RPRN. Muy basado en https://github.com/Prepouce/CoercedPotato Cargador reflectante de https://github.com/stephenfewer/ReflectiveDLLInjection. Instalación...