GhostKatz

GhostKatz Extract LSASS credentials directly from physical memory by abusing signed vulnerable drivers with physical memory read primitives via MmMapIoSpace, bypassing traditional user-mode detection capabilities. This tool was developed in collaboration between Julian Peña and Eric Esquivel. Thi...

CVE-2026-43499-S25U

CVE-2026-43499 PoC for Galaxy S25 Ultra Device-specific proof of concept for CVE-2026-43499 on the Korean Samsung Galaxy S25 Ultra. Supported target root@kitploit: Model: SM-S938N Codename: pa3q Android: 16 / API 36 Build: S938NKSUACZF1 Display ID: BP4A.251205.006.S938NKSUACZF1 Fingerprint:...

HyperDbg

HyperDbg Debugger HyperDbg Debugger is an open-source, hypervisor-assisted debugger for Windows Linux support is currently under development! with support for both user-mode and kernel-mode native debugging. It is built for reverse engineering, fuzzing, and advanced system analysis using modern...

CVE-2024-38041

CVE-2024-38041 Kernel pointers copied to output user mode buffer with ioctl 0x22A014 in the appid.sys driver...

winfsp

WinFsp · Прокси файловой системы Windows WinFsp позволяет разработчикам создавать собственные файловые системы т.е. «диски Windows» как программы пользовательского режима без необходимости знаний о программировании ядра Windows. Это аналогично FUSE Файловая система в пространстве пользователя для...

CVE-2025-7771

CVE-2025-7771 Эксплойт для вызова произвольных функций режима ядра из пользовательского режима путем злоупотребления драйвером ThrottleStop. Демонстрация Ссылки https://github.com/jonomango/superfetch https://securelist.com/av-killer-exploiting-throttlestop-sys/117026/...

ring3-kit

ring3-kit Hides Process From Task Manager Using NT Hooking NtQuerySystemInformation. A simple Ring-3 user mode rootkit. How Hook the API function NtQuerySystemInformation with our own function that hides a process from task manager Hooked function gets called instead The DLL is injected into...

acheron

关于 Acheron 是一个受 SysWhisper3/FreshyCalls/RecycledGate 启发的库，大部分功能使用 Go 汇编实现。 acheron 包可用于向您的 Golang 工具链添加间接系统调用能力，以绕过那些利用用户态钩子和 instrumentation callbacks 来检测从内核态返回用户态时未回到 ntdll.dll 的异常系统调用的 AV/EDR。 主要特性 无依赖 纯 Go 和 Go 汇编实现 支持自定义字符串加密/哈希函数以对抗静态分析 工作原理 创建新的系统调用代理实例时，会执行以下步骤： 1. 遍历 PEB 以获取内存中 ntdll.dll...

TelemetrySourcerer

Telemetry Sourcerer Introduction Telemetry Sourcerer can enumerate and disable common sources of telemetry used by AV/EDR on Windows. Red teamers and security enthusiasts can use this tool in a lab environment to: Identify collection-based blind spots in the products they're up against. Determine...

DrSemu

Dr.Semu Dr.Semu runs executables in an isolated environment, monitors the behavior of a process, and based on Dr.Semu rules created by you or the community, detects if the process is malicious or not. The tool is in the early development stage whoami: @qazqaz With Dr.Semu you can create rules to...

EDR-Freeze

EDR-Freeze 이 도구는 BYOVDBring Your Own Vulnerable Driver 공격 방법을 사용하지 않고도 WerFaultSecure의 소프트웨어 취약점을 악용하여 EDR 및 안티맬웨어의 프로세스를 일시 중지시키는 도구입니다. EDR-Freeze는 사용자 모드에서 작동하므로 추가 드라이버를 설치할 필요가 없습니다. 최신 버전의 Windows에서 실행할 수 있습니다. 실험은 프로젝트 생성 당시 최신 버전의 Windows인 Windows 11 24H2에서 수행되었습니다. 명령줄 구문 EDR-Freeze.exe...

DMA-ProcessDumper

DMA-ProcessDumper PCIe FPGA 디바이스를 통해 MemProcFS와 함께 DMA를 사용하여 사용자 모드에서 대상 프로세스의 전체 메모리를 덤프합니다 빌드 MemProcFS에서 leechcore.h, vmmdll.h 및 vmm.lib를 DMA-ProcessDumper 디렉터리로 복사합니다 Visual Studio를 사용하여 컴파일합니다 MemProcFS에서 leechcore.dll, vmm.dll 및 FTD3XX.dll을 DMA-ProcessDumper\x64 디렉터리로 복사합니다 사용법 root@kitploi...

santa

Santa !NOTE As of 2025, Santa is no longer maintained by Google. We encourage existing users to migrate to an actively maintained fork of Santa, such as https://github.com/northpolesec/santa. Santa is a binary and file access authorization system for macOS. It consists of a system extension that...

sinter

Sinter Sinter is a 100% user-mode endpoint security agent for macOS 10.15 and above, written in Swift. Sinter uses the user-mode EndpointSecurity API to subscribe to and receive authorization callbacks from the macOS kernel, for a set of security-relevant event types. The current version of Sinte...

RefleXXion

Introduction RefleXXion is a utility designed to aid in bypassing user-mode hooks utilised by AV/EPP/EDR etc. In order to bypass the user-mode hooks, it first collects the syscall numbers of the NtOpenFile, NtCreateSection, NtOpenSection and NtMapViewOfSection found in the LdrpThunkSignature arra...

evil-mhyprot-cli

evil-mhyprot-cli Mhyprot2.sys 취약 드라이버에 대한 PoC로, 권한이 없는 사용자 프로세스를 통해 커널/사용자 메모리를 읽고 쓸 수 있게 해줍니다. libmhyprot Wiki 개요 이 CLI로 할 수 있는 작업은 다음과 같습니다: 사용자 모드에서 커널 권한으로 모든 커널 메모리 읽기/쓰기 사용자 모드에서 커널 권한으로 모든 사용자 메모리 읽기/쓰기 특정 프로세스 ID로 여러 모듈 열거 시스템 가동 시간 확인 특정 프로세스의 스레드 열거, 그 결과로 CLI에서 직접 커널의 PETHREAD 구조체를 읽을 ...

ish

iSH Проект, позволяющий запустить командную оболочку Linux на iOS с помощью эмуляции x86 в пользовательском режиме и трансляции системных вызовов. Текущее состояние проекта можно узнать в разделе Issues и в логах коммитов. Страница в App Store TestFlight beta Сервер Discord Вики с помощью и...

CVE-2026-20805-POC

CVE-2026-20805 PoC Microsoft의 Desktop Windows Manager dwm.exe 정보 공개 취약점에 대한 개념 증명PoC입니다. 📋 취약점 요약 ID: CVE-2026-20805 제품: Microsoft Windows 구성 요소: Desktop Windows Manager dwm.exe CWE-ID: CWE-200 권한 없는 행위자에게 민감한 정보 노출 심각도 CVSS 3.1: 5.5 보통 벡터: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N 이미 인증된 로컬...

CVE-2026-50416-writeup-and-poc

CVE-2026-50416: 데스크톱 힙에 하나의 QWORD가 너무 많음 Windows 11 Insider 빌드 10.0.28020.2149에서 Win32k 데스크톱 힙의 사용자 모드 매핑이 오프셋 0x100에 원시 커널 세션 풀 포인터를 노출했습니다. 읽기 자체는 거의 공격적으로 작을 정도입니다: root@kitploit: ULONG64 leaked = ULONG64 desktopheap + 0x100; 테스트 세션에서 다음 값이 반환되었습니다: root@kitploit: 0xffffc600dcc00040 이 값은 동일한...

WiseDelete

Обёртка драйвера WiseDelfile Легковесная утилита для Windows, которая загружает драйвер ядра WiseDelfile64.sys , выполняет необходимую синхронизацию с устройством и отправляет IOCTL-запросы для удаления файлов, которые невозможно удалить с помощью стандартных Windows API. Этот проект демонстрируе...