OffensiveVBA

OffensiveVBA En preparación para un Stream/Video de Evasión AV con VBS, estaba investigando métodos de ejecución de código para Macros de Office y técnicas de evasión. La lista se hizo cada vez más larga y no encontré un lugar centralizado para plantillas VBA ofensivas, así que este repositorio...

Split

Description Divide and Conquer is an algorithm that is commonly applied in programming to solve a complex problem by dividing it into many simpler sub-problems. We can apply this approach to offensive security with a different goal: confuse EDRs so they lose track of our activities, preventing th...

Black-Angel-Rootkit

Black Angel Rootkit Black Angel is a Windows 11/10 x64 kernel mode rootkit. Rootkit can be loaded with enabled DSE while maintaining its full functionality. Designed for Red Teams. Rootkit Features Rootkit can be loaded with kdmapper to bypass DSE, Black Angel Loader may not be working properly...

DbgNexum

DbgNexum - Shellcode Injection DbgNexum is a Proof-of-Concept for injecting shellcode using the Windows Debugging API and Shared Memory File Mapping. It avoids writing and reading remote memory directly, instead using context manipulation to force the target process to load and execute the payloa...

spawn

SPAWN - BOF de Cobalt Strike BOF de Cobalt Strike que crea un proceso sacrificial, lo inyecta con shellcode y ejecuta el payload. Construido para evadir hooks de EDR/UserLand al crear un proceso sacrificial con Arbitrary Code Guard ACG, BlockDll y suplantación de PPID. Debido a ACG, esto no es...

SigFlip

¿Qué es? SigFlip es una herramienta para modificar archivos PE firmados con authenticode exe, dll, sys, etc. de forma que no afecte ni rompa la firma authenticode existente; en otras palabras, puedes cambiar el checksum/hash del archivo PE incrustando datos por ejemplo, shellcode sin romper la...

PELoader

PELoader PELoader implementa varias técnicas de inyección de shellcode y utiliza la librería libpeconv para cargar archivos PE cifrados en lugar de inyectar shellcode en un hilo remoto. Se implementaron las siguientes técnicas: Module Stomping LoadLibrary Module Stomping NtMapViewOfSection PoC...

LiquidSnake

Liquid Snake Liquid Snake es un programa diseñado para realizar movimiento lateral contra sistemas Windows sin tocar el disco. La herramienta se basa en la Suscripción a Eventos WMI para ejecutar un ensamblado .NET en memoria; el ensamblado .NET escuchará un shellcode en una tubería con nombre y...

NimGetSyscallStub

NimGetSyscallStub Obtén Syscalls frescas de una copia nueva de ntdll.dll. Este código puede usarse como alternativa a las ya publicadas y fantásticas herramientas NimlineWhispers y NimlineWhispers2 de @ajpc500 o ParallelNimcalls. La ventaja de obtener Syscalls dinámicamente es que la firma de los...

ProcessStomping

ProcessStomping Una variación de ProcessOverwriting para ejecutar shellcode en una sección de un ejecutable Qué es Para una explicación más detallada puedes leer mi entrada de blog Process Stomping es una variación del Process Overwriting de hasherezade y tiene la ventaja de escribir una carga út...

Shellcode-Injection-Techniques

Técnicas de Inyección de Shellcode Una colección de técnicas de inyección de shellcode en C. Todas las técnicas utilizan un payload de meterpreter cifrado con AES. Iré ampliando este proyecto a medida que aprenda, descubra o desarrolle más técnicas. Nota: El proyecto no está pensado para ser usad...

Windows-X64-RAT

Troyano de Acceso Remoto RAT para Windows x64 Objetivo Desarrollar un RAT para Windows x64 utilizando CVE-2023-38831 WinRAR 6.23 y explotación de shellcode para evadir Windows Defender. Descripción del Sistema 1. Inicialización del Shellcode Generar shellcode usando Windows/x64 - PIC Null-Free TC...

ShellGhost

ShellGhost Una técnica de evasión basada en memoria que hace que el shellcode sea invisible desde el inicio hasta el final del proceso. Motivación Quería compartir esta POC de autoinyección de shellcode para mostrar algunos conceptos de evasión de AV/EDR que pueden ser útiles para Red Teaming. Ha...

RecycledInjector

RecycledInjector Descripción Actualmente Inyector de shellcode nativo/.NET en el mismo proceso totalmente no detectado basado en RecycledGate de thefLink, que también se basa en HellsGate + HalosGate + TartarusGate para garantizar llamadas al sistema nativas indetectables incluso si una técnica...

meterssh

Tool Name: MeterSSH Written by: David Kennedy Company: TrustedSec Website: https://www.trustedsec.com Twitter: @TrustedSec, @HackingDave MeterSSH is a way to take shellcode, inject it into memory then tunnel whatever port you want to over SSH to mask any type of communications as a normal SSH...

meterssh

Nombre de la herramienta: MeterSSH Escrito por: David Kennedy Empresa: TrustedSec Sitio web: https://www.trustedsec.com Twitter: @TrustedSec, @HackingDave MeterSSH es una forma de tomar shellcode, inyectarlo en la memoria y luego tunelizar el puerto que desees a través de SSH para enmascarar...

InfectPE

Usando esta herramienta puedes inyectar x-code/shellcode en un archivo PE. InjectPE funciona solo con archivos ejecutables de 32 bits. ¿Por qué necesitas InjectPE? Puedes probar tus productos de seguridad. Úsalo en una campaña de phishing. Aprende cómo funciona la inyección de PE. ...y así...

SpawnWith

SpawnWith An experimental Beacon Object File BOF that provides an alternative to the spawnas and inject commands. This exposes a new command, spawnwith pid listener, that performs the following: 1. Obtain a handle to the target process. 2. Obtain a handle to the process' primary token. 3. Duplica...

ExecIT

ExecIT Description DLL Shellcode self-inyector/runner based on HWSyscalls, ideally thought to be executed with rundll32. May grant fileless execution if victim endpoint has access to attacker-controlled SMB share. Usage rundll32.exe ExecIT.dll, HelperFunc, Detection Currently it is fully undetect...

RemoteRecon

RemoteRecon Reconocimiento remoto y recolección RemoteRecon proporciona la capacidad de ejecutar capacidades de post-explotación contra un host remoto, sin tener que exponer tu conjunto completo de herramientas/agente. A menudo, como operadores, necesitamos comprometer un host solo para poder hac...