NTDLL-Unhook

NTDLL Unhook ネイティブAPIによるntdll .textセクションの適切なアンフック。x86/x64/wow64対応。 仕組み プログラムはPEBを走査してntdll.dllのベースアドレスを特定し、Import Address Tableに触れることなくPEエクスポートテーブルを手動で解析してNT...

MalDev

MalDev やあ！私のリポジトリへようこそ : 私はキャプテン・マグマです。サイバーセキュリティ、マルウェア開発、そして分析に情熱を注いでいる個人です。 このリポジトリの目的は、私が学習し、ノートとコードでこのリポジトリを更新していく中で、自分のMalDevのロードパスを管理することです。 私はこれらのテクニックの作者ではありません。これは、私によるそれらの実装に過ぎません。 !Important 明確にしておきたいのですが、私は決して専門家ではなく、せいぜい初心者レベルです。ですので、このリポジトリから驚くべきAPTのようなマルウェアが生まれるとは期待しないでください。...

UnhookMe

UnhookMe - 동적으로 언후킹하는 임포트 리졸버 침입적 AV와 EDR이 향상된 가시성 요구를 위해 실행 중인 프로세스에 핫 패치를 도입하는 시대에, 현대의 공격자는 이러한 감시 체계를 통과할 강력한 도구가 필요합니다. 사용 중인 함수를 실시간으로 언후킹할 수 있는 동적 임포트 리졸버의 제안된 구현은 공격자의 복원력 강화 노력을 위한 또 하나의 단계입니다. 여기서 제안하는 솔루션은 링커가 해결한 WinAPI 임포트컴파일된 실행 파일의 PE 헤더, 특히 Import Address Table에 표시됨를 사용하는 대신, 임포트를...

unhook-bof

これは、DLLをリフレッシュしてフックを除去するためのBeacon Object Fileです。コードはCylanceのUniversal Unhooking研究に由来します： https://blogs.blackberry.com/en/2017/02/universal-unhooking-blinding-security-software 使用方法： Cobalt Strike - Script Manager 経由で unhook.cna を Cobalt Strike に読み込みます Beacon から 'unhook' を実行します ビルド方法： make...

unhook-bof

これは、DLLをリフレッシュしてフックを除去するためのBeacon Object Fileです。コードはCylanceのUniversal Unhooking研究に基づいています: https://blogs.blackberry.com/en/2017/02/universal-unhooking-blinding-security-software 使用方法: Cobalt Strike - Script Manager から unhook.cna を Cobalt Strike に読み込みます Beacon から 'unhook' を実行します ビルド方法: x86: Visual...

NyxInvoke

NyxInvoke NyxInvoke は、.NET アセンブリ、PowerShell コマンド/スクリプト、Beacon Object Files BOF、PE ファイルの実行用に設計された多用途の Rust ベースのツールで、Ntdll Unhooking、パッチレス AMSI、ETW バイパス機能を内蔵しています。スタンドアロンの実行ファイルまたは DLL のどちらとしてもコンパイルできます。 特徴 .NET アセンブリの実行 PowerShell コマンドまたはスクリプトの実行 Beacon Object Files BOF の読み込みと実行 PE ファイル EXE の読み込みと...

Killer

KILLER TOOL EDR规避 这是一个用于学习绕过安全工具的AV/EDR规避工具，目前该工具是FUD（免杀）的。 功能特性： 模块踩踏（Module Stomping）用于内存扫描规避 通过新鲜ntdll副本进行DLL解除挂钩 IAT隐藏与混淆及API解除挂钩 ETW修补用于绕过某些安全控制 包含沙箱规避技术和基本反调试 通过XOR完全混淆（函数-密钥-Shellcode） Shellcode反转并加密 将载荷移至空闲内存，无需使用API GetProcAddress和GetModuleHandle的实现（由@cocomelonc提供） 运行时不会创建新线程，支持x64和x86架构...

nim-loader

nim-loader nim을 배우는 여정에서 여러 리소스를 조합하여 일반적인 EDR/AV 회피 기법을 구현한 셸코드 로더를 만든, 매우 조잡하고 진행 중인 프로젝트입니다. 이것은 난장판이며 연구 목적으로만 사용하세요! 수정 없이 컴파일 및 실행이 될 것이라고 기대하지 마십시오. 지침 loader.nim의 바이트 배열을 자신의 x64 셸코드로 교체하세요. EXE를 컴파일하고 실행: nim c -d:danger -d:strip --opt:size "loader.nim" 사용 중인 인젝션 폴더 메서드의 .nim 파일을 확인하여 인젝...

TeamsImplant

TeamsImplant 이 프로젝트는 Teams가 사용하는 urlmon.dll을 프록시하는 은밀한 Teams 임플란트입니다. 이 DLL을 컴파일하여 Teams 디렉토리에 urlmon.dll로 넣어두면, 사용자가 Teams를 실행하거나 시작 시 Teams가 실행될 때마다 지속성 백도어를 얻을 수 있습니다. Features: 뮤텍스: Teams가 10개의 다른 Teams 프로세스를 생성하고 각각에 프록시 DLL을 로드할 때 10개의 셸이 스팸처럼 열리지 않도록 방지합니다. DLL 언후킹을 수행하여 일반적인 셸코드 인젝션 함수를 걱...

WTSRM

WTSRM - 私のトークに対応するWriting Tiny Small Reliable Malwareデモリポジトリ \KnownDlls\を使用してすべてのWindows DLLのフックを解除 CRT依存なし サイズが小さい 低エントロピー ランダムな文字列暗号化キー（そのため平文の文字列は存在しない） APIハッシュ化 フック検出 ntdll上の初期アンフックのためにフックを迂回する...

MalwareApiLibrary

MalwareApiLibrary : マルウェア開発に使用されるAPIのコレクション : StringManagementLib : 文字列、文字列ハッシュなどの管理 WinApiManagementLib : GetModuleHandle 関数と GetProcAddress 関数の代替 SyscallsManagementLib : Hellsgate、TartarusGate、PerunsFart（現時点では）を実行して syscall のフックを解除する リファレンス: VX-API TODO: アンチデバッグライブラリ ペイロード実行ライブラリ 永続化ライブラリ バグを修正...

WTSRM2

WTSRM2 Dies ist eine Fortsetzung meines ursprünglichen Projekts WTSRM und des zugehörigen Vortrags. Dieses Projekt wurde neu geschrieben, um C++17 zu nutzen und eine Vorlage zu erstellen, die es uns ermöglicht, die gewünschte Funktionalität zur Compilezeit problemlos zu ändern! Es ist als reine...

ntdlll-unhooking-collection

Questo repository non contiene un README...

PE-Obfuscator

PE-Obfuscator Obfuscator di PE progettato con l'Evasion in mente, richiede privilegi di amministratore per caricare il driver RTCore64. Video: https://user-images.githubusercontent.com/123980007/234171901-c1eb735e-ceca-481d-9310-02ba30f6836b.mp4 L'Obfuscator : root@kitploit: - Ottiene un PE...

Fuck-Etw

「⚙️」Bypass di ETW e Unhooking di Ntdll Bypassa l'Event Trace Windows ETW e rimuovi l'hook di ntdll. root@kitploit: |\ /| | \ /\ \ /|\ /| | /| || /| \ / /| / | | | | | | || | | / / | | | | | | | | | | | || | | | | | | | | | | | | | || | | \ \ | | | | || || | | | || /| / \ | /\ | | | | |/ /|/...

CrimsonEDR - Simulate The Behavior Of AV/EDR For Malware Development Training

CrimsonEDR is an open-source project engineered to identify specific malware patterns, offering a tool for honing skills in circumventing Endpoint Detection and Response EDR. By leveraging diverse detection methods, it empowers users to deepen their understanding of security evasion tactics...

China-linked Hackers Deploy New 'UNAPIMON' Malware for Stealthy Operations

A threat activity cluster tracked as Earth Freybug has been observed using a new malware called UNAPIMON to fly under the radar. "Earth Freybug is a cyberthreat group that has been active since at least 2012 that focuses on espionage and financially motivated activities," Trend Micro security...

Earth Freybug Uses UNAPIMON for Unhooking Critical APIs

This article provides an in-depth look into two techniques used by Earth Freybug actors: dynamic-link library DLL hijacking and application programming interface API unhooking to prevent child processes from being monitored via a new malware we’ve discovered and dubbed UNAPIMON...

AtomLdr - A DLL Loader With Advanced Evasive Features

A DLL Loader With Advanced Evasive Features Features: CRT library independent. The final DLL file, can run the payload by loading the DLL executing its entry point, or by executing the exported "Atom" function via the command line. DLL unhooking from \KnwonDlls\ directory, with no RWX sections. T...

TerraLdr - A Payload Loader Designed With Advanced Evasion Features

TerraLdr: A Payload Loader Designed With Advanced Evasion Features Details: no crt functions imported syscall unhooking using KnownDllUnhook api hashing using Rotr32 hashing algo payload encryption using rc4 - payload is saved in .rsrc process injection - targetting 'SettingSyncHost.exe' ppid...