Dirty Vanity

Ein POC für die neue Injektionstechnik, die die Windows-Fork-API missbraucht, um EDRs zu umgehen.

Verwendung

DirtyVanity.exe [TARGET_PID_TO_REFLECT]

Laufzeitschritte

• Allokieren und schreiben Sie Shellcode in [TARGET_PID_TO_REFLECT]
• Forken Sie [TARGET_PID_TO_REFLECT] in einen neuen Prozess
• Setzen Sie die Startadresse des geforkten Prozesses auf den geklonten Shellcode

Shellcode

Der reflektierte Shellcode arbeitet mit der ntdll-API. Er wird aus dem enthaltenen Generatorprojekt shellcode_template erzeugt, mit freundlicher Genehmigung von https://github.com/rainerzufalldererste/windows_x64_shellcode_template

Shellcode-Anpassung

Um den Shellcode einfach anzupassen:

• Bearbeiten Sie die shellcode_template-Funktion im Projekt shellcode_template gemäß den Anweisungen unter