7572 matches found
AsmLdr
AsmLdr: Windows x64向け動的シェルコードローダー 概要 AsmLdrは、x64アセンブリ言語で実装された高度なシェルコードローダーで、Windows...
mortar
Mortar Loader レッドチームの回避技術で、セキュリティ製品の検知と防止を無効化し、迂回します。Mortar Loaderは、メモリストリーム内でPE/シェルコードの暗号化と復号化を行い、いくつかのインジェクション技術を活用して実行します。Mortarは、最新のアンチウイルス製品や高度なXDRソリューションをバイパスすることができ、以下についてテストされ、バイパスが確認されています。 Kaspersky ✔️ ESET AV / EDR ✔️ Malewarebytes ✔️ Mcafee ✔️ Windows defender ✔️ Cylance ✔️ TrendMicro...
monomorph
════════════════════════════════════╦═══ ╔═╦═╗ ╔═╗ ╔═╗ ╔═╗ ╔═╦═╗ ╔═╗ ╔══╔═╗ ╠═╗ ═╩ ╩ ╩═╚═╝═╩ ╩═╚═╝═╩ ╩ ╩═╚═╝═╩ ╠═╝═╩ ╩═ ════════════════════════════════╩═══════ 作者 Retr0id ═══ MD5-Monomorphic Shellcode Packer ═══ 使い方: python3 monomorph.py inputfile outputfile payloadfile これは何をするのか？...
CallObfuscator
CallObfuscator 静的/動的解析ツールからPEインポートを難読化（隠蔽）します。 理論 これは非常に単純です。例えば、VirtualProtect を使用していて、それを Sleep で難読化したいとします。ツールはIATを操作して、VirtualProtect を指すサンクが代わりに Sleep を指すようにします。ファイルの実行時に、Windowsローダーは VirtualProtect の代わりに Sleep をロードし、実行をエントリポイントに移します。そこから実行はシェルコードにリダイレクトされ、ツールが事前に配置したシェルコードが VirtualProtect...
PhantomEvasion
PHANTOM EVASION 3.0 Phantom-Evasion は、Python（Python および Python3 の両方に対応）で書かれたアンチウイルス回避ツールであり、最も一般的な x86 msfvenom ペイロードでも（ほぼ）完全に検出されない実行ファイルを生成できます。 以下の OS が自動セットアップを正式にサポートしています。 1. Kali Linux 2. Parrot Security 以下の OS は自動セットアップに対応する可能性が高いですが、metasploit-framework の手動インストールが必要です。 1. OSX（Catalina...
CVE-2017-11882
CVE-2017-11882 43b 元のスクリプトは次から入手しました: https://github.com/embedi/CVE-2017-11882 109b 元のスクリプトは次から入手しました: https://github.com/unamer/CVE-2017-11882/ （敬意を表して、今やunamerのコードはシェルコードを実行できるようになりました〜） CVE-2017-11882: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ MITRE CVE-2017-11882:...
hades
About Hades is a proof of concept loader that combines several evasion technques with the aim of bypassing the defensive mechanisms commonly used by modern AV/EDRs. Usage The easiest way, is probably building the project on Linux using make. git clone https://github.com/f1zm0/hades && cd hades ma...
Shhhloader
Shhhloader Shhhloaderは開発中のシェルコードローダーです。生のシェルコードを入力として受け取り、AV/EDRを回避するためのさまざまな処理を行うC++スタブをコンパイルします。含まれているPythonビルダーは、Mingw-w64がインストールされている任意のLinuxシステムで動作します。 2024年1月25日編集: ShhhloaderはPoolParty variant 7をサポートするようになりました！また、Module...
maldev-for-dummies
Malware Development for Dummies In the age of EDR, red team operators cannot get away with using pre-compiled payloads anymore. As such, malware development is becoming a vital skill for any operator. Getting started with maldev may seem daunting, but is actually very easy. This workshop will sho...
Sharperner
Sharperner Sharperner は、AES および XOR で難読化されたシェルコードを使用して .NET ドロッパーを生成する CSharp 製のツールです。生成された実行ファイルはシグネチャチェックを回避できる可能性がありますが、ヒューリスティックスキャンを回避できるかは確かではありません。 機能 PE バイナリ プロセス・ホローイング PPID スプーフィング ランダム生成された AES キーと IV 最終的なシェルコード、キー、IV はモールス信号に変換されます : .NET バイナリ AES + XOR 暗号化されたシェルコード APC プロセスインジェクション...
SigFlip
这是什么？ SigFlip 是一款用于修补已进行 Authenticode 签名的 PE 文件（exe、dll、sys 等）的工具，其修补方式不会影响或破坏已有的 Authenticode 签名。换句话说，你可以在不破坏文件签名、完整性检查或 PE 文件功能的前提下，通过嵌入数据（例如 shellcode）来改变 PE 文件的校验和/哈希值。 SigInject 会将 shellcode 加密并注入到 PE 文件的 WINCERTIFICATE 证书表中，加密密钥会打印出来，供基本的 BOF/C/C 加载器（SigLoader）使用。SigInject 会将修改后的 PE...
LittleCorporal
LittleCorporal LittleCorporal: C製自動マルドック生成ツール C:\LittleCorporal\bin\ReleaseLittleCorporal.exe C:\beacon.bin explorer.exe . . . . | | ||/ |/ || | \ \ | | | | | \ \ \ | / / \ / / \ \ \ / \ \ \ | | | || || | | | | |\ /\ \ | / | | // | | | ||| || |/\ \ //|| | / /|| // / / / || / / \ / o\ /...
CVE-2017-9757
Syncbreeze向けエクスプロイト Syncbreeze v10.0.28からシェルを取得するためのシェルコード...
Sandman
Sandman Sandmanは、レッドチームのエンゲージメント中に厳格化されたネットワークで動作するように設計されたバックドアです。 Sandmanはステージャーとして動作し、NTP（時刻と日付を同期するプロトコル）を利用して、事前定義されたサーバーから任意のシェルコード を取得・実行します。 NTPは多くの防御者に見落とされがちなプロトコルであり、その結果、広範なネットワークアクセスが可能となります。 使用方法 SandmanServer 使用方法 Windows / nix マシンで実行: python3 sandmanserver.py "Network Adapter"...
ProcessInjection
ProcessInjection このプログラムはプロセスインジェクションを実行するように設計されています。 現在、このツールは5つのプロセスインジェクション技術をサポートしています。 1 Vanilla Process Injection 2 DLL Injection 3 Process Hollowing 4 APC Queue 5 KernelCallbackTable Injection このツールは4つの形式でシェルコードを受け付けます。 1 base64 2 hex 3 c 4 raw このツールはプロセスインジェクションを実行するための4つのメソッドをサポートしています。...
shad0w
SHAD0W SHAD0W is a modular C2 framework designed to successfully operate on mature environments. It uses a range of methods to evade EDR and AV while allowing the operator to continue using tooling and tradecraft they are familiar with. Its powered by Python 3.8 and C, and uses Donut for payload...
spawn
SPAWN - Cobalt Strike BOF 犠牲プロセスを生成し、シェルコードを注入してペイロードを実行するCobalt Strike BOFです。Arbitrary Code Guard（ACG）、BlockDll、PPIDスプーフィングを使用して犠牲プロセスを生成することで、EDR/ユーザーランドフックを回避するように構築されています。 ACGのため、以下の機能に依存するシェルコードはサポートされません。 メモリ権限のRW/RX間の切り替え。 RWXメモリ 上記の機能に依存する生成されたプロセスにシェルコードを注入するには、Hollow BOFプロジェクトを参照してください。...
WMEye
WMEye WMEye は、Windows WMI について調査する過程で開発された実験的なツールです。このツールは、WMI とリモート MSBuild 実行を使用した横方向移動（Lateral Movement）のために開発されました。エンコード/暗号化されたシェルコードをリモートターゲットの WMI クラスプロパティにアップロードし、トリガーされると LogFileEventConsumer という特殊な WMI クラスを使用して MSBuild ベースのペイロードを書き込むイベントフィルターを作成し、最後にリモートでペイロードを実行します。 ユースケース WMI...
CVE-2016-2067
ADRENO GPU IOMMU DMA EXPLOIT Tested under Nexus 6p google/angler/angler:6.0.1/MMB29M/2431559:user/release-keys バグについて 2016年にBlackhat EUで議論されました。 エクスプロイトについて IOMMU DMA書き込みにより、vdso.soがシェルコードで上書きされます。 そのため、/initがkernelclockgettimeを実行した後、シェルコードが実行されます。 /initプロセスはその後、ルートシェルでコネクトバックします。 ログ Reverse shel...