zelos

Zelos Zelos Z eropoint E mulated L ightweight O perating S ystem is a python-based binary emulation platform. One use of zelos is to quickly assess the dynamic behavior of binaries via command-line or python scripts. All syscalls are emulated to isolate the target binary. Linux x8664 32- and...

thirdeye

第三只眼 用户模式下的 WDAMONITOR/WDAEXCLUDEFROMCAPTURE 绕过器，使用未文档化的Windows函数和C绑定。 主要特性： PEB 遍历 Halo's Gate 自定义 PE 节 未文档化的 Windows 函数 快速粗略的 EDR/AV 规避（VirusTotal 上 2/72） 直接系统调用 开始使用 安装包： dotnet add thirdeye 用法（C） 截取屏幕截图，揭露任何隐藏窗口： using ThirdEye; using var session = new ThirdEyeSession...

keystone

Keystone Engine Keystone is a lightweight multi-platform, multi-architecture assembler framework. It offers some unparalleled features: Multi-architecture, with support for Arm, Arm64 AArch64/Armv8, Ethereum Virtual Machine, Hexagon, Mips, PowerPC, RISC-V, Sparc, SystemZ & X86 include 16/32/64bit...

dd

dd 仮想マシン不要でmacOS上でLinuxコンテナを実行。 ddとは？ dd は、Apple Silicon macOS 上で Linux コンテナを仮想マシンなしでネイティブ実行 します。以下に Linux カーネルもハイパーバイザーも存在しません。JIT がコンテナのコードを変換し、その Linux システムコールをユーザースペースで処理 します（gVisor / PRoot 系統）。JIT がゲストの Linux カーネルそのものです — 名前空間、cgroups、オーバーレイイメージレイヤ、ネットワーキングはすべてユーザースペースの状態として維持されます。Docker...

nimcrypt

nimcrypt Nimcrypt is a .NET PE Crypter written in Nim, based entirely on the work of @byt3bl33d3r's OffensiveNim project: https://github.com/byt3bl33d3r/OffensiveNim This tool was inspired by @S3cur3Th1sSh1t's blog post a few months ago, as it's essentially just a full PoC of what he presented:...

laZzzy

laZzzy laZzzy は、マルウェアによって一般的に使用されるさまざまな実行手法を示すシェルコードローダーです。laZzzy は、複数のオープンソースのヘッダーオンリーライブラリを使用して開発されました。 機能 ダイレクトシステムコールとネイティブ Nt 関数 すべての関数ではありませんが、ほとんど インポートアドレステーブル IAT 回避 暗号化されたペイロード XOR および AES ランダム生成キー ペイロードの自動パディング 必要な場合 を NOPS \x90 で実施 ペイロードのバイト単位でのメモリ内復号 XOR 暗号化された文字列 PPID スプーフィング...

acheron

About Acheron is a library inspired by SysWhisper3/FreshyCalls/RecycledGate, with most of the functionality implemented in Go assembly. acheron package can be used to add indirect syscall capabilities to your Golang tradecraft, to bypass AV/EDRs that makes use of usermode hooks and instrumentatio...

ROP_ROCKET

ROP ROCKET の紹介 この新しい高度なROPフレームワークは、DEF CON 31で前例のない機能を備えてデビューしました。ROCKETは複数のタイプのチェーンを生成し、新しいパターンやテクニックを提供します。 これはまだ開発中であり、いくつかの更新および強化された機能が追加される予定です。更新は定期的に行われるはずです。問題が発生した場合は、issuesに投稿するか、メールでお知らせください。対応いたします。また、特定のタイプのガジェットを生成するための代替方法も追加される予定です。 現在、新しい機能が定期的に追加されており、作業は進行中です。定期的にチェックしてください。...

rust_syscalls

RUSTSYSCALLS 用于 Windows 的单桩直接与间接系统调用，附带运行时 SSN 解析。 特性： 所有系统调用仅需一行代码 编译期函数名哈希 直接或间接系统调用 支持 x8664、WOW64 和 x86 原生架构 设计上允许实现自定义 SSN 获取方法（更多信息请查看本自述文件末尾） 使用方法： 1. 将 git 仓库 / 本地路径作为依赖项添加到你的库中： rustsyscalls = git = "https://github.com/janoglezcampos/rustsyscalls" 或 rustsyscalls = path = 2. 通过在特性中设置 DIRE...

Unwinder

目录 SilentMoonWalk 描述 致谢 用法 callfunction! 宏 indirectsyscall! 宏 参数传递 示例 调用 kernel32.dll!Sleep 调用 kernel32.dll!OpenProcess 以间接系统调用方式调用 NtDelayExecution 串联宏调用 注意事项 初始帧 PoC 栈替换 技术描述 使用方法 实际示例 备注 SilentMoonWalk 描述 Unwinder 提供了对 SilentMoonWalk 技术的完整武器化实现，使得能够在 Rust 中获得完整且稳定的调用栈欺骗（call stack spoofing）。...

CobaltWhispers

CobaltWhispers 作者：@Cerbersec CobaltWhispers 是一款 Aggressor 脚本，利用一组用于 Cobalt Strike 的 Beacon Object File 来执行进程注入、持久化等操作，并借助直接系统调用（direct syscalls）绕过 EDR/AV。 CobaltWhispers 由 SysWhispers2 和 InlineWhispers2 提供支持 CobaltWhispers 基于 StayKit 以及 Hasherezade 和 Forrest Orr 的工作成果。 CobaltWhispers 是在 NVISO...

nim-loader

nim-loader nimを学ぶための非常に粗い作業中の冒険で、リソースを寄せ集めて一般的なEDR/AV回避技術を実装したシェルコードローダーを作成しています。 これは乱雑なもので、研究目的のみです！ 自分で修正せずにコンパイルして実行できるとは期待しないでください。 手順 loader.nim 内のバイト配列を自分のx64シェルコードに置き換えてください EXEをコンパイルして実行します: nim c -d:danger -d:strip --opt:size "loader.nim"...

DarkWidow

DarkWidow Windows を標的としたカスタマイズ可能なドロッパーツール。 栄誉ある言及: 1. BlackHat Asia, 2024 - ツール募集 2. BlackHat USA, 2024 - ツール募集 3. BlackHat SecTor, 2024 - ツール募集 4. BlackHat Europe, 2024 - ツール募集 5. Wild West Hacking Fest 2024 - アーセナル これらのカンファレンスに応募するよう励ましてくれたSoumyadeep...

awesome-edr-bypass

Awesome EDR Bypass 🛡️ 倫理的なハッキングのための Awesome EDR バイパスリソース ⚔️ EDR バイパス技術は攻撃者だけのものではありません。多くのマルウェアが EDR バイパス機能を備えており、ペネトレーションテスターやインシデントレスポンダーもその知識を理解しておくべきです。このリポジトリは攻撃のエスカレーションを目的としたものではありません。倫理的なハッキングに使用してください。 PoC trickster0/TartarusGate: TartarusGate、EDRバイパス am0nsec/HellsGate: Hell's Gate VX...

lacuna-rs

lacuna-rs Windows x64 向けのゴーストフレーム・コールスタック・スプーフィング + ランタイム間接システムコール — Rust にポーティング。 Mohamed Alzhrani 0xmaz による LACUNA Chain lacunachain.c からポーティング。 lacuna-rs は、元の C 実装の TTP と同じプリミティブを提供する再利用可能な Rust クレートであり、任意の Rust プロジェクトに組み込めるように構成されています — wsyscall-rs や syscalls-rs のようなものですが、ランタイム SSN 解決...

Nimcrypt2

Nimcrypt2 Nimcrypt2 是另一个旨在绕过 AV/EDR 的 PE 打包器/加载器。它是对我原始 Nimcrypt 项目的改进，主要改进包括使用直接系统调用以及能够加载常规 PE 文件和原始 Shellcode。 在进一步介绍之前，我必须感谢为本项目做出绝大部分工作和研究的那些人。首先，我要感谢 @byt3bl33d3r 的 Offensive Nim 仓库，以及 @ShitSecure 公开发布的所有代码片段。这个工具的原版就是基于这些创建的，当前版本也不例外。特别是，本工具中使用的新 PE 加载功能只是实现了 ShitSecure 最近发布的 Nim-RunPE 代码。...

DInvoke_rs

DInvokers Rust 移植版，源自 Dinvoke。DInvokers 可用于多种用途，例如 PE 解析、动态解析导出函数、在运行时动态加载 PE 插件、规避 API 钩子等。 功能特性： 从 Rust 动态解析并调用未文档化的 Windows API。 提供可用于战略性规避 API 钩子的原语。 间接系统调用。仅限 x64 手动映射来自磁盘或直接来自内存的 PE 模块。 PE 头解析。 将 PE 模块映射到由磁盘上任意模块支持的内存区域。不符合 Opsec 要求 模块波动（Module fluctuation）以隐藏已映射的 PE（支持并发）。不符合 Opsec 要求...

SysWhispers

SysWhispers SysWhispersは、直接システムコールを行うためのヘッダー/ASMファイルを生成し、インプラントが回避策を講じるのに役立ちます。 Windows XPからWindows 10 19042 20H2までのすべての主要なシステムコールがサポートされています。生成されたファイルの例は example-output/ フォルダにあります。 はじめに 各種セキュリティ製品は、ユーザーモードAPIにフックを仕掛け、実行フローを自身のエンジンにリダイレクトして不審な動作を検出します。システムコールを実行する ntdll.dll...

NovaLdr

NovaLdr ⚜️ NovaLdr は Rust で書かれたスレッドレスモジュールストンピングであり、マルウェア開発の世界を探求する学習プロジェクトとして設計されています。間接システムコールや文字列暗号化などの高度な技術を使用して機能を実現しています。このプロジェクトは完成品や洗練された製品を意図しておらず、むしろマルウェアの技術的側面への旅であり、さまざまな技術と機能を示すものです。 機能概要 💡 間接システムコール 文字列暗号化 シェルコード暗号化 : シンプルな XOR と、シェルコードバイトを MAC アドレスに変換 スレッドレス実行 Threadless inject:...

ExecuteAssembly

説明: ExecuteAssemblyはCSのexecute-assemblyの代替であり、C/C++で構築されています。ホスト（spawnto）プロセスに読み込まれたCLRモジュール/AppDomainManagerの再利用、ローダー/.NETアセンブリのPE DOSヘッダーの隠蔽、.NET関連モジュールのリンク解除、ETW+AMSIのバイパス、NT静的システムコール（x64）によるEDRフックの回避、superfasthashハッシュアルゴリズムを使用したAPIの動的解決によるインポートの隠蔽により、.NETアセンブリを読み込み/インジェクションするために使用できます。...