avet

反病毒逃避工具 AVET 因技术发展和时间限制不再继续开发。 AVET 是一款反病毒逃避工具，旨在让渗透测试人员的工作更轻松，并用于实验反病毒逃避技术以及恶意软件使用的其他方法。 关于 v2.4 的新功能以及过往版本更新的概览，请查看 CHANGELOG 文件。 目录 安装 Docker AVET 简易方式 AVET 常规方式 文档（ 点击展开 ） 数据检索方法 加密与编码 沙箱逃逸 附加命令执行 辅助工具 AVET 与 Metasploit psexec 对抗样本 更多 部分特性 当运行由 msfpayload 等工具生成的 .exe 文件时，该文件通常会被杀毒软件识别 AVET...

al-khaser

Al-Khaser v0.81 目录 简介 可能用途 功能 反调试攻击 反内存转储 时间攻击 用户交互 反虚拟机 反反汇编 要求 许可协议 简介 al-khaser 是一个具有良好的 PoC（概念验证）“恶意”应用程序，旨在对您的反恶意软件系统进行压力测试。 它执行一系列常见的恶意软件技巧，目的是检查您是否能够不被发现。 使用方式 root@kitploit: $ ./al-khaser.exe -h Usage: al-khaser.exe OPTIONS Options: --check 启用特定的检查项。可多次使用。有效的类型有： TLS 线程本地存储回调检查 DEBUG 反调试检...

fake-sandbox

伪造沙箱进程 FSP 这个小脚本会模拟分析工具、沙箱和虚拟机软件的虚假进程，有些恶意软件会试图避开这些进程。 你可以从这里下载由 @x0rz 编写的原始脚本（顺便说一句，感谢他）。 你也可以从根目录下载我稍作优化的脚本。该文件名为 fsp.ps1。这个脚本也用于 FSP 安装程序中。 脚本功能 某些（更高级的）间谍软件只要这些创建的进程在运行，就可能停止正常执行。 要求：Powershell（Windows 7 及更高版本预装），仅此而已。 完全不占用系统负载（几乎）。 安装程序功能 自动将脚本安装到你的自启动目录，这样你就不必在每次重新登录时手动执行它。 要求：仅需 Powershel...

MorphAES

MorphAES IDPS 与沙盒与反病毒 隐形杀手。 MorphAES 是世界上第一款多态 shellcode 引擎，具有变形特性并能绕过沙盒，使其对 IDPS 无法检测。它同样跨平台且不依赖库。 特性： 多态性（AES 加密） 变形性（逻辑和常量变化） 平台无关（Linux/BSD/Windows） IDPS 隐形（对于一段给定代码，可能的签名总数超过宇宙中的原子数量） 沙盒规避（特殊汇编指令） 避免坏字符（\x00, \x04, \x05, \x09, \x0a, \x20） 可生成可执行文件并远程利用 输入代码长度任意 可添加 NOP sled 变形器的依赖： Python 2....

nimcrypt

nimcrypt 一个用 Nim 编写的 Sliver shellcode 加载器，针对 Windows x64。包含两种变体，涵盖最常见的两种投递场景。已在开启实时保护的 Windows Defender 环境下测试通过。 变体 stager 从磁盘读取加密的 shellcode 文件，在内存中解密并自注入。适用于已具备文件投放能力，且需要一个轻量简单二进制文件的场景。 root@kitploit: loader.exe keyhex ivhex 密钥和 IV 可选。如果省略，文件将被视为未加密的原始 shellcode。 stageless 通过 Windows WinHTTP 栈从...

Chimera

Chimera Unlea$ed 工具背景 虽然DLL sideloading可用于合法目的，例如加载程序运行所需的库，但它也可能被用于恶意用途。攻击者可以利用DLL sideloading在目标系统上执行任意代码，通常利用加载DLL的合法应用程序中的漏洞。 为了自动化DLL sideloading过程并使其更有效，我们创建了Chimera，该工具包含了规避EDR/AV产品的逃避方法。该工具可以使用随机密钥通过XOR自动加密shellcode，并创建可导入Visual Studio以生成恶意DLL的模板镜像。 此外，还使用了来自SysWhispers3的动态系统调用（Dynamic...

Bypass-Sandbox-Evasion

绕过沙箱检测 沙箱通常用于分析恶意软件。它们提供了一个临时的、隔离的且安全的环境，用以观察可疑文件是否表现出任何恶意行为。然而，恶意软件开发者已开发出多种方法来逃避沙箱和分析环境。其中一种方法是执行检查，以确定执行恶意软件的机器是否正在由真实用户操作。其中一种检查是RAM大小。如果RAM大小小得不切实际（例如1GB），则可能表明该机器是一个沙箱。如果恶意软件检测到沙箱，它将不会执行其真正的恶意行为，并可能表现为一个良性文件。 详细说明 GetPhysicallyInstalledSystemMemory API 从 SMBIOS 固件表中检索计算机上实际安装的 RAM 数量。它接受一个...

Killer

KILLER TOOL EDR规避 这是一个用于学习绕过安全工具的AV/EDR规避工具，目前该工具是FUD（免杀）的。 功能特性： 模块踩踏（Module Stomping）用于内存扫描规避 通过新鲜ntdll副本进行DLL解除挂钩 IAT隐藏与混淆及API解除挂钩 ETW修补用于绕过某些安全控制 包含沙箱规避技术和基本反调试 通过XOR完全混淆（函数-密钥-Shellcode） Shellcode反转并加密 将载荷移至空闲内存，无需使用API GetProcAddress和GetModuleHandle的实现（由@cocomelonc提供） 运行时不会创建新线程，支持x64和x86架构...

pe_to_shellcode

petoshellcode Converts PE so that it can be then injected just like a normal shellcode. At the same time, the output file remains to be a valid PE. Supports both 32 and 64 bit PEs Authors:@hasherezade & @hh86 Objective The goal of this project is to provide a possibility to generate PE files that...

MaliciousMacroGenerator

恶意宏生成器工具 简单易用的工具，用于生成混淆宏，并包含反病毒/沙箱逃逸机制。 要求 root@kitploit: Python 2.7 用法 root@kitploit: MMG.Malicious Macro Generator v2.0 - RingZer0 Team Author: Mr.Un1k0d3r [email protected] Usage: MMG.py config output optional parameters config Config file that contain generator information output Output...

debloat

Debloat Debloat es una herramienta GUI y CLI para eliminar la basura excesiva de ejecutables inflados. Con "basura excesiva" me refiero a 100 - 800 MB de bytes basura añadidos a un binario para evitar que entre en un sandbox. Este método de añadir basura se llama "inflar" o "bombear" un binario...

pickl3

Pickl3 Pickl3 是一款针对 Windows 活跃用户的凭证钓鱼工具。您可以执行 Pickl3 来钓取目标用户的凭证。 操作使用 - 1 如今，由于许多终端用户的操作系统是 Windows 10，我们无法像过去那样轻易地使用类似 Mimikatz 的项目窃取账户信息。使用 Pickl3，您可以尝试在无需提升权限的情况下窃取活跃用户的账户信息。 操作使用 - 2 如今，已知的沙箱检测方法大约有 200 种。沙箱，尤其是在虚拟机监控器层进行分析的沙箱，对这些检测方法具有免疫力。但沙箱在用户交互方面还不够好。通过在开发的恶意软件中使用...

DKMC

No mates a mi gato DKMC Windows 10 ahora limita la ejecución adecuada del payload de shellcode debido a la necesidad de una página RWX para decodificar y ejecutar el shellcode. DKMC puede actualizar la configuración de una página de memoria con el permiso adecuado. No mates a mi gato es una...

DRMBinViaOrdinalImports

DRMBinViaOrdinalImports - Create Anti-Copy DRM Malware Quick Links Maldev Academy Home Maldev Academy Syllabus Maldev Academy Pricing Summary This repository uses a technique to modify a program's Import Address Table IAT by replacing the imported function names with their corresponding ordinals,...

Malicious code in syswatch (PyPI)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 740c9125f18d68081f742b3316d07c54727fb4aab5555a398c0c04e31ba9bb54 Importing syswatch starts a background thread that, on Windows, fetches a JSON manifest from...

MAL-2026-15811 Malicious code in syswatch (PyPI)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 740c9125f18d68081f742b3316d07c54727fb4aab5555a398c0c04e31ba9bb54 Importing syswatch starts a background thread that, on Windows, fetches a JSON manifest from...

PSSW100AVB

⚡ PSSW100AVB ⚡ Evasión de detección de PowerShell e investigación en sandbox Repositorio de scripts de PowerShell con 100% de bypass de AV PSSW100AVB...

Malicious code in secret-key-totp (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 0f662164281fe877686c7eac93e0e6d068ccb16f8bff1b44029b1ace655a76b6 [email protected] declares a postinstall hook node./index.js --setup that executes a credential stealer and dropper on install, and the same...

Malicious code in envprovision (PyPI)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector a414ad5404fdeeb23c37f1580aeee8175765ba8613e8fadd1a0254bf0e25d2f6 envprovision 1.4.0 presents itself as an environment-diagnostics helper but its public check/sync API, on Windows, fetches a JSON manifest from a...

MAL-2026-14389 Malicious code in envprovision (PyPI)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector a414ad5404fdeeb23c37f1580aeee8175765ba8613e8fadd1a0254bf0e25d2f6 envprovision 1.4.0 presents itself as an environment-diagnostics helper but its public check/sync API, on Windows, fetches a JSON manifest from a...