nopowershell

NoPowerShell NoPowerShell은 C으로 구현된 도구로, PowerShell과 유사한 명령을 실행하면서도 PowerShell 로깅 메커니즘에 탐지되지 않도록 지원합니다. 이 .NET Framework 2 호환 바이너리는 Cobalt Strike에 로드하여 메모리 내에서 명령을 실행할 수 있습니다. System.Management.Automation.dll은 사용되지 않으며, 네이티브 .NET 라이브러리만 사용됩니다. NoPowerShell의 또 다른 사용 사례는 제한된 환경에서 rundll32.exe를 통해 DL...

JSRat-Py

JSRat-Py 이것은 JSRat.ps1을 Python으로 구현한 것입니다. 이제 Powershell이 활성화된 Windows OS로 제한되지 않고 모든 OS에서 공격 서버를 실행할 수 있습니다. rundll32 또는 regsvr32 방식을 통한 클라이언트 호출 처리를 지원하도록 추가했습니다. 참고 자료 및 원본 프로젝트: regsvr32: https://gist.github.com/subTee/24c7d8e1ff0f5602092f58cbb3f7d302 rundll32:...

ThreatHunting

위협 헌팅 조직 내 위협을 헌팅하기 위한 GPL v3 도구를 공개합니다. Nexthink 모듈 Threat hunting - Potential malware downloads v1.0.xml 이 보고서는 일반적인 악성 문서 기법에서 발생하는 모든 인터넷 도메인 호출을 보여줍니다. 대부분의 엔드포인트 악성코드매크로, Office 익스플로잇 등는 페이로드를 다운로드할 때 동일한 방식의 메서드 집합을 사용합니다. 현재 모니터링되는 방식은 다음과 같습니다: rundll32 mshta PowerShell wscript/cscript...

PowerShdll

PowerShdll dll만으로 PowerShell을 실행합니다. powershell.exe에 접근할 필요 없이 PowerShell 자동화 dll을 사용합니다. PowerShdll은 rundll32.exe, installutil.exe, regsvcs.exe, regasm.exe, regsvr32.exe 또는 독립 실행형 실행 파일로 실행할 수 있습니다. dll 모드: Rundll32: Usage: rundll32 PowerShdll,main rundll32 PowerShdll,main -h 이 메시지를 표시합니다 rundll...

PowerShx

SharpShx DLL이나 독립 실행 파일을 사용하는 비관리형 PowerShell 실행. 소개 PowerShx는 PowerShdll 프로젝트를 재작성하고 확장한 것입니다. PowerShx는 AMSI 우회 및 PS Cmdlet 실행 기능을 제공합니다. 기능 rundll32.exe, installutil.exe, regsvcs.exe, regasm.exe, regsvr32.exe를 사용하여 DLL로 PowerShell 실행 powershell.exe 또는 powershellise.exe 없이 PowerShell 실행 AMSI 우회...

CVE-2021-40444

완전 무기화된 CVE-2021-40444 CVE-2021-40444Microsoft Office Word 원격 코드 실행를 악용하기 위한 악성 docx 생성기로, 임의의 DLL 파일과 함께 작동합니다. 배경 인터넷에 이미 많은 PoC가 있지만, 공유할 가치가 있는 유용한 정보가 부족하다고 느꼈고, Microsoft가 이미 이 취약점에 대한 패치를 출시했다는 점을 고려하여 이 취약점을 무기화하는 작업에 도전해 보기로 했다. 지금까지 완전히 작동하는 생성기를 만들기 위해 본 유일한 유용한 자료는 다음과 같습니다: Ret2Pwn의...

ExecIT

ExecIT 설명 HWSyscalls 기반의 DLL 셸코드 자체 주입기/실행기로, rundll32로 실행되도록 설계되었습니다. 피해자 엔드포인트가 공격자가 제어하는 SMB 공유에 접근할 수 있는 경우 파일리스 실행이 가능할 수 있습니다. 사용법 rundll32.exe ExecIT.dll, HelperFunc, 탐지 현재 이 커밋 시점 기준으로 테스트된 모든 EDR에서 완전히 탐지되지 않습니다셸코드에 따라 다름. 예: Defender for Endpoint EDR의 경우: 면책 조항 이 저장소에서 제공되는 정보/파일은 교육 및...

ZeroRAT

ZeroRAT 소개 Windows용 원격 제어 도구입니다. 클라이언트는 명령 한 줄만 실행하면 되며, Windows 기본 프로그램을 이용해 실행됩니다. 디스크에 파일을 쓰지 않아 원천적으로 AV 탐지를 우회하는 특성을 가집니다. 재부팅하면 무효화됩니다. 프로그램에서 download와 upload는 모두 클라이언트 기준입니다. 클라이언트가 서버에서 파일을 내려받는 것을 download라고 하고, 클라이언트가 서버로 파일을 올리는 것을 upload라고 합니다. 설정 config.py에서 클라이언트가 접속할 주소와 백엔드 관리...

CVE-2018-9276

CVE-2018-9276 PRTG 18.2.39 인증된 명령 주입 리버스 셸 https://nvd.nist.gov/vuln/detail/CVE-2018-9276 https://github.com/M4LV0이 작성한 익스플로잇의 개선 버전입니다. 저는 그들의 스크립트에서 POST 데이터를 사용했지만, 그걸로는 성공률이 높지 않아 더 신뢰할 수 있게 만들었습니다. 페이로드 전달은 본질적으로 smbdelivery입니다. Impacket은 msfvenom이 생성한 .dll을 제공하며, rundll32.exe가 모든 작업을 수행합니다...

CVE-2026-101882

OpenClaw Windows Node before 2026.7.1 contains an incomplete validation vulnerability in system.execApprovals.set that accepts wildcard-executable rules and abusable system binaries like mshta, rundll32, and certutil. Remote callers can add broad allow rules to execute arbitrary commands on the...

CVE-2026-101882

OpenClaw Windows Node versions prior to 2026.7.1 are vulnerable to Remote Code Execution (RCE) due to an incomplete validation flaw in the system.execApprovals.set function. The vulnerability allows remote callers to bypass security by adding broad allow rules that accept wildcard-executable rule...

CVE-2026-101882 OpenClaw Windows Node before 2026.7.1 Remote Code Execution via system.execApprovals.set

OpenClaw Windows Node before 2026.7.1 contains an incomplete validation vulnerability in system.execApprovals.set that accepts wildcard-executable rules and abusable system binaries like mshta, rundll32, and certutil. Remote callers can add broad allow rules to execute arbitrary commands on the...

EUVD-2026-90255

OpenClaw Windows Node before 2026.7.1 contains an incomplete validation vulnerability in system.execApprovals.set that accepts wildcard-executable rules and abusable system binaries like mshta, rundll32, and certutil. Remote callers can add broad allow rules to execute arbitrary commands on the...

CVE-2026-101882 OpenClaw Windows Node before 2026.7.1 Remote Code Execution via system.execApprovals.set

OpenClaw Windows Node before 2026.7.1 contains an incomplete validation vulnerability in system.execApprovals.set that accepts wildcard-executable rules and abusable system binaries like mshta, rundll32, and certutil. Remote callers can add broad allow rules to execute arbitrary commands on the...

CVE-2026-101882 OpenClaw Windows Node before 2026.7.1 Remote Code Execution via system.execApprovals.set

OpenClaw Windows Node before 2026.7.1 contains an incomplete validation vulnerability in system.execApprovals.set that accepts wildcard-executable rules and abusable system binaries like mshta, rundll32, and certutil. Remote callers can add broad allow rules to execute arbitrary commands on the...

PT-2026-103517

Name of the Vulnerable Software and Affected Versions OpenClaw Windows Node versions prior to 2026.7.1 Description Incomplete validation in the system.execApprovals.set function allows the acceptance of wildcard-executable rules and abusable system binaries, such as mshta, rundll32, and certutil...

MAL-2026-6357 Malicious code in theme-color-picker (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector f7a4ba7e8664b9e1d99c4018963a4731d591653d7f2a9b879ba090e7a7f6e7bd Although the package presents itself as a 'theme color picker', package.json identifies the publisher as analysis-chart.io with repository...

Malicious code in theme-color-picker (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector f7a4ba7e8664b9e1d99c4018963a4731d591653d7f2a9b879ba090e7a7f6e7bd Although the package presents itself as a 'theme color picker', package.json identifies the publisher as analysis-chart.io with repository...

CVE-2026-25865 Punto Switcher 4.5.0.583 Unquoted Search Path via WinExec

Punto Switcher through 4.5.0.583 contains an unquoted search path element vulnerability that allows local attackers to execute arbitrary code by exploiting the application's call to WinExec without a fully qualified path for RunDll32.exe when invoking shell32.dll ControlRunDLL input.dll. Attacker...

CVE-2026-25865: Unquoted Search Path or Element

Punto Switcher through 4.5.0.583 contains an unquoted search path element vulnerability that allows local attackers to execute arbitrary code by exploiting the application's call to WinExec without a fully qualified path for RunDll32.exe when invoking shell32.dll ControlRunDLL input.dll. Attacker...