nopowershell

NoPowerShell NoPowerShellはCで実装されたツールで、PowerShellに似たコマンドを実行しながら、PowerShellのあらゆるログ記録メカニズムに対して不可視のまま動作します。この.NET Framework 2互換のバイナリは、Cobalt Strikeにロードしてメモリ内でコマンドを実行できます。System.Management.Automation.dllは使用されず、ネイティブの.NETライブラリのみが使用されます。NoPowerShellの別のユースケースとしては、制限された環境でrundll32.exeを介してDLLとして起動する方法があります...

twittor

Twittor 트위터직접 메시지를 명령 및 제어 서버로 사용하는 은밀한 Python 기반 백도어입니다. 이 프로젝트는 Gmail 계정을 사용하여 동일한 작업을 수행하는 Gcat에서 영감을 받았습니다. 설정 이 작업이 작동하려면 다음이 필요합니다: 트위터 계정 전용 계정을 사용하세요! 개인 계정을 사용하지 마세요! 읽기, 쓰기 및 직접 메시지 액세스 수준으로 트위터에 앱 등록 의존성 설치: $ pip install -r requirements.txt 이 저장소에는 두 개의 파일이 있습니다: twittor.py 클라이언트...

cleanldap

CleanLdap AD WS를 통해 은밀한 LDAP 쿼리를 수행하는 BOF 인수 바로 본론으로 들어가겠습니다. 다음은 인수와 그 의미입니다: Z: DC 호스트 이름 "dc01.example.com" Z: LDAP 쿼리 "objectClass=" Z: 쉼표로 구분된 LDAP 속성 목록 "samaccountname,distinguishedName,cn" - 비어 있으면 모든 속성 수집 Z: Base DN "DC=example,DC=com" - 비어 있으면 호스트 이름에서 파싱 Z: 한 번에 가져올 최대 요소 수 "25" - XML...

dnsteal

dnsteal v 2.0 This is a fake DNS server that allows you to stealthily extract files from a victim machine through DNS requests. Below are a couple of different images showing examples of multiple file transfer and single verbose file transfer: Support for multiple files Gzip compression supported...

dnsteal

dnsteal v 2.0 이는 DNS 요청을 통해 피해자 머신에서 파일을 은밀하게 추출할 수 있는 가짜 DNS 서버입니다. 아래는 여러 파일 전송과 단일 상세 파일 전송의 예시를 보여주는 몇 가지 이미지입니다: 여러 파일 지원 Gzip 압축 지원 이제 서브도메인, 서브도메인당 바이트 수, 파일명 길이의 사용자화를 지원합니다 도움말은 아래를 참조하세요: 도움말을 이해하지 못하셨다면, 기본 옵션으로 프로그램을 사용하세요! python dnsteal.py 127.0.0.1 -z -v 이것은 쿼리당 4개의 서브도메인 중 각 서브도메인...

s3enum

s3enum s3enum은 빠르고 은밀한 Amazon S3 버킷 열거 도구입니다. HTTP 대신 DNS를 사용하므로, 요청이 S3 서버 액세스 로그에 기록되지 않습니다. 원래 2016년에 GitHub 표적을 위해 만들어졌습니다. 설치 go install github.com/koenrh/s3enum@latest 사용법 대상의 기본 이름예: hackerone, 단어 목록, 접미사 목록을 지정해야 합니다. 후보 버킷 이름은 대상 이름과 각 단어를 결합하거나-, , ., 그리고 구분자 없음 접미사 목록의 각 항목을 선택적으로 앞에...

ntqueueapcthreadex-ntdll-gadget-injection

🧪 NtQueueApcThreadEx NTDLL ガジェットインジェクション はじめに ApcRoutine と SystemArgument0-3 パラメータを悪用し、ランダムな pop r32; ret ガジェットを渡すことで NtQueueApcThreadEx を使用するこの新しい方法は、ステルスなコードインジェクションに使用できます。この PoC では、特定のパターンに一致する ntdll.dll のメモリ領域からガジェットがランダムに選択されます。つまり、ガジェットはシェルコードに リターン します。 1...

gcat

Gcat Gmail을 명령 및 제어 서버로 사용하는 은밀한 Python 기반 백도어 이 프로젝트는 Benjamin Donnelly의 원본 PoC 코드에서 영감을 받았습니다. 이것은 PoC 코드입니다... ... 조직이 이러한 유형의 공격에 대한 방어를 테스트할 수 있도록 공개되었습니다. 이를 탐지하려면 RITA와 같은 프로젝트를 참조하세요. 이 프로젝트의 더 최신 유지 관리 버전은 GDog를 참조하세요. 설정 작동하려면 다음이 필요합니다: Gmail 계정 전용 계정을 사용하세요! 개인 계정을 사용하지 마세요! 계정의 보안 설정...

ECLIPSE: Self-Evolving Stealthy Prompt Injection Attack against Long-Horizon Agentic Systems

Recently, large language model LLM agents, such as Codex, Claude Code, and OpenClaw, have become capable of planning and executing long-horizon tasks through repeated tool calls. This capability also creates new opportunities for prompt injection. Existing attacks either place the malicious...

Adversarial Training of Linear Models under Stealthy Attacks

Predictive models are widely used in many fields, but are vulnerable to false data injection attacks. To address this, detection schemes and adversarial training have been proposed, but such approaches lack guarantees against stealthy attacks. We therefore propose a detector-based switched model,...

MAL-2026-13586 Malicious code in dolyame-ui-inputtime (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 19ce8608ab1a5fcb21175b9bb64053362c941cf3ffefe754caf02c8000b44fb5 On require'dolyame-ui-inputtime', index.js loads./loader.js which fetches a platform-specific executable from hardcoded Cloudflare Workers hosts...

Malicious code in boxy-use-what-changed (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector f4123a4d2cb60652a8dddc93869ea787e1f8c5324fd9c73ed0cf621d4058c667 On require of boxy-use-what-changed, index.js loads ext.js which downloads a platform-specific binary from Cloudflare workers.dev subdomains...

MAL-2026-12618 Malicious code in claims-format-money (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector bc73b342ec9e00a543a54dcf8c212c8107638a9f2630ce32f239af5cc6a2d009 The package's index.js requires bootstrap.js on import. bootstrap.js reconstructs per-platform download URLs at runtime from split string fragments...

Malicious code in devplatform-sdk (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector c72866f0f03d8960696f4e272cbff49b861cc66557c5250a7d77f90a2310f33c On require'devplatform-sdk', index.js loads polyfill.js which auto-invokes start: it selects a per-OS payload path, fetches a binary from...

Malicious code in abi-encode (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector afc61427f74a028242a032b9436c09c43b1df60fef5688aa5389ef107e899259 The package advertises ABI encoding but on require schedules a 37-second timer that decodes test/fixtures/keypairs.dat base64-encoded stealer, staged...

Understanding the Stealthy BGP Hijacking Risk in the ROV Era

The partial deployment of Route Origin Validation ROV poses an unexpected security threat known as stealthy BGP hijacking, i.e., a particularly elusive form of BGP hijacking where malicious routes divert traffic without reaching and thus alerting the victims. This risk remains largely unexplored,...

Customization under Fire: Plugin Poisoning in Text-To-Image Ecosystem

The prosperity of text-to-image T2I models has fostered a vibrant share-and-play ecosystem centered on Low-Rank Adaptation LoRA plugins, which allow users to customize and share model capabilities with ease. This democratization, however, comes with a hidden but severe security risk. Malicious...

POISE: Position-Aware Undetectable Skill Injection on LLM Agents

Agent skills provide a lightweight mechanism for extending general-purpose agents, but their open format exposes them to skill-poisoning attacks. A practically dangerous injection must stay invisible: if executing the payload derails the user's legitimate task, the resulting failure signal invite...

Undermining the trust boundary: Investigating a stealthy intrusion through third-party compromise

In this article 1. Abuse of trusted relationships as an attack delivery mechanism 2. Methods, tools, and access strategies 3. Campaign conclusion 4. Microsoft Defender detection and hunting guidance In recent years, many sophisticated intrusions have increasingly avoided using noisy exploits,...

Quasar Linux (QLNX) – A Silent Foothold in the Supply Chain: Inside a Full-Featured Linux RAT With Rootkit, PAM Backdoor, Credential Harvesting Capabilities

TrendAI™ Research breaks down Quasar Linux QLNX, a previously undocumented sophisticated Linux RAT with low detection rates. In this blog, we examine a full-featured Linux threat incorporating a rootkit, a PAM backdoor, credential harvesting, and more, revealing how this malware enables stealthy...