Anti-Sandbox

Description Detecting AnyRun sandbox, and more is coming out in the future. AnyRun detection Demo https://github.com/user-attachments/assets/45533630-3c64-457a-80d0-a0f12ae84b98...

anticuckoo

anticuckoo 一款用于检测并崩溃Cuckoo Sandbox的工具。已在Cuckoo Sandbox官方和Accuvant的Cuckoo版本中测试。 请考虑捐赠：https://github.com/sponsors/therealdreg Anticuckoo 也能检测其他沙盒，如 FireEye（-c2）： Reddit / netsec 上关于 anticuckoo 的讨论 功能 检测: Cuckoo钩子检测（所有类型的Cuckoo钩子）。 自身内存中的可疑数据（不使用API，逐页扫描）。 崩溃（带参数执行）（在沙盒外这些参数不会使程序崩溃）： -c1：修改被钩API的RE...

LOLBITS

root@kitploit: ██╗ ██████╗ ██╗ ██████╗ ██╗████████╗███████╗ ██║ ██╔═══██╗██║ ██╔══██╗██║╚══██╔══╝██╔════╝ ██║ ██║ ██║██║ ██████╔╝██║ ██║ ███████╗ ██║ ██║ ██║██║ ██╔══██╗██║ ██║ ╚════██║ ███████╗╚██████╔╝███████╗██████╔╝██║ ██║ ███████║ ╚══════╝ ╚═════╝ ╚══════╝╚═════╝ ╚═╝ ╚═╝ ╚══════╝ 目录 关于项目 致谢...

Ares

Project Ares Project Ares 注入器 Project Ares 注入器是一个基于 Transacted Hollowing 技术的概念验证 PoC 加载器，用 C/C++ 编写。该加载器将 PE 注入远程进程，并具有以下功能： PPID 欺骗 CIG（代码完整性保护）以阻止非 Microsoft 签名的二进制文件 动态函数解析，无需使用 LoadLibrary 或 GetProcAddress API API 哈希 通过从磁盘刷新 .text 段的干净版本来取消对 NTDLL 的挂钩 最小化使用 WIN32 API 基本沙箱检测 从 PE 资源加载的 AES256...

invoke-antivm

Invoke-AntiVM v1.0 简介 Invoke-AntiVM 是一组模块，用于通过 Powershell 执行 VM 检测和指纹识别（含渗出）。 兼容性 运行脚本 check-compatibility.ps1 以检查哪些模块或函数与 powershell 版本兼容。 我们的目标是实现从 2.0 版本的兼容性，但目前尚未达成。 请运行 check-compability.ps1 以查看当前的兼容性问题。 背景 我们编写此工具是为了统一多种识别 VM 或沙箱技术的技术。 它同时依赖于签名和行为信号来识别主机是否为 VM。 模块按逻辑组分类：CPU、执行、网络、程序。...

wsb-detect

⏳ wsb-detect wsb-detect te permite detectar si te estás ejecutando en Windows Sandbox "WSB". El sandbox es utilizado por Windows Defender para análisis dinámico, y comúnmente de forma manual por analistas de seguridad y similares. A finales de 2019, Microsoft introdujo una nueva característica...

Coldfire

ColdFire II Golang 恶意软件开发框架 目录 目录 简介 安装 包含的函数类型 要求 免责声明 许可证 简介 ColdFire II 提供了多种对 Golang 中恶意软件和安全基础设施建设有用的方法。 大部分函数兼容 Linux 和 Windows 操作系统。 安装 go get github.com/redcode-labs/Coldfire 文档 即将推出 包含的函数类型（针对恶意软件开发） 日志 辅助 侦察 规避 管理 沙箱检测 破坏性 低级 包含的函数类型（针对基础设施） 网络操作 密码学 带有专用读取器的 IO 隧道 目标处理 要求 root@kitploit...

pafish

Pafish Pafish 是一款测试工具，使用与恶意软件家族相同的手法检测虚拟机和恶意软件分析环境。 该项目免费且开源；所有反分析技术的代码均已公开。适用于 Windows（x86 32 位和 64 位）的 Pafish 可执行文件可从发布页面下载。 目标 本项目的目标是收集恶意软件样本中常见的用于逃避分析系统的技术。这样分析师可以研究这些技术，并测试分析环境是否正确实现。 构建 Pafish Pafish 使用 C 语言编写，可通过 Mingw-w64 和 make 构建。 wiki 页面“构建方法”包含详细说明。 作者 Alberto Ortega 以及众多出色的贡献者。 许可证...

MAL-2026-14401 Malicious code in multyproccess (PyPI)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 7938a109a642dfe8b161e9568d6373a038c3413c0fd1f2b01702f4f173348553 The package's setup.py overrides the install and develop cmdclass to base64-decode a bundled request/.payload file and launch it via...

Malicious code in multyproccess (PyPI)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 7938a109a642dfe8b161e9568d6373a038c3413c0fd1f2b01702f4f173348553 The package's setup.py overrides the install and develop cmdclass to base64-decode a bundled request/.payload file and launch it via...

MAL-2026-14308 Malicious code in libasync (PyPI)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 3563869a8df47e05e731eafb6ea62b3d8c60672c038444139d0ff5f8941bebcf The package was found to contain malicious code or consuming dependency that contains malicious code Source: kam193...

MAL-2026-13380 Malicious code in uncrypt (PyPI)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 61fc5c3033efaa35a8eae7781fa0fc4b300f753c5b0d56e07adcc0557e9b648f The package presents itself as a trivial Python XOR/hex helper, but uncrypt/init.py executes runsecuritylauncher at module top level, which...

Malicious code in uncrypt (PyPI)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 61fc5c3033efaa35a8eae7781fa0fc4b300f753c5b0d56e07adcc0557e9b648f The package presents itself as a trivial Python XOR/hex helper, but uncrypt/init.py executes runsecuritylauncher at module top level, which...

Malicious code in cfgzen (PyPI)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector a904eba641878bae63f76595a468b0faaa66fd27104ac557249e457f005c3fb1 The package installs a site-wide cfgzen.pth containing import dotcfg, which Python's site machinery executes automatically at every interpreter start...

MAL-2026-11094 Malicious code in cfgzen (PyPI)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector a904eba641878bae63f76595a468b0faaa66fd27104ac557249e457f005c3fb1 The package installs a site-wide cfgzen.pth containing import dotcfg, which Python's site machinery executes automatically at every interpreter start...

MAL-2026-10868 Malicious code in neroteam-v1 (PyPI)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector e8a87642ea3c7a291704b2306a242bb496048571efcafb63835055f0871aed19 Importing the nero package triggers nero/init.py to load nero.main, whose top-level code runs a guard routine before executing a hidden payload. guar...

Malicious code in neroteam-v1 (PyPI)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector e8a87642ea3c7a291704b2306a242bb496048571efcafb63835055f0871aed19 Importing the nero package triggers nero/init.py to load nero.main, whose top-level code runs a guard routine before executing a hidden payload. guar...

MAL-2026-10780 Malicious code in data-parser-utils (PyPI)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector e63ddac8a229de35d497a342d918dbf4255d76e932db5ac33f1cf7db1a9e1939 The package's advertised parsexml/parsejson functions invoke an internal checkenvironment routine that, after a host-uptime sandbox-evasion gate 300...

Malicious code in data-parser-utils (PyPI)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector e63ddac8a229de35d497a342d918dbf4255d76e932db5ac33f1cf7db1a9e1939 The package's advertised parsexml/parsejson functions invoke an internal checkenvironment routine that, after a host-uptime sandbox-evasion gate 300...

Malicious code in pylogora (PyPI)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector dfecc686b83d148b0b68acd99fe38f484c035c5b9c59fb7623378866e8e307cc pylogora/init.py invokes a at module top level, so any import pylogora triggers the payload. a base64-decodes hidden URLs and filesystem paths,...