dotNetPELoader

Sicherheitshinweis

Kürzlich habe ich eine inoffizielle modifizierte Version dieses Projekts entdeckt, die außerhalb dieses Repositories verbreitet wird.

Nach der Überprüfung der Dateien habe ich zusätzliche versteckte Komponenten und Skriptladeverhalten identifiziert, die NICHT im offiziellen Quellcode vorhanden sind.

Bitte beachten Sie:

• Die inoffizielle Verteilung enthält zusätzliche ausführbare und skriptladende Elemente, die NICHT Teil des ursprünglichen Quellcodes sind.
• Die offiziellen Veröffentlichungen dieses Projekts werden NUR in diesem Repository veröffentlicht.
• Offizielle Veröffentlichungen enthalten KEINE zusätzlichen Batch-Dateien, versteckten Loader oder eingebetteten Skriptkomponenten.

Ich stehe in keiner Verbindung zu Drittanbieter-Weiterverbreitungen dieses Projekts.

Aus Sicherheitsgründen:

• Falls Sie neu verpackte Builds mit unerwarteten ausführbaren Dateien oder Ladern finden, führen Sie diese nicht aus.
• Laden Sie Releases nur direkt von diesem Repository herunter.
• Überprüfen Sie nach Möglichkeit den Quellcode vor dem Bauen.

PoC zur Analyse: https://iss4cf0ng.github.io/2026/02/24/2026-2-24-UnofficialRedistribution/

Einleitung

Ein C#-PE-Loader für x64- und x86-PE-Dateien.

Kürzlich, als ich eine dateilose Ausführungsmethode für DuplexSpy RAT Version 2 entwickelte, fand ich kaum einen C#-basierten x86-PE-Loader.
Die meisten vorhandenen Implementierungen, die ich fand, waren nur für x64, wie die von Casey Smith entwickelte. Daher entschied ich mich, selbst einen C#-basierten x86-PE-Loader zu entwickeln.

Diese Konsolenanwendung ermöglicht es Ihnen, entweder x86- oder x64-PE-Dateien in den Speicher zu laden. Zuerst liest sie die Dateibytes aus dem angegebenen Dateipfad und ermittelt dann die Architektur sowohl des Loaders als auch der Ziel-PE-Datei.

Eine x64-PE kann nicht von einem x86-Loader geladen werden und umgekehrt.

Funktionen

• x86-PE im x86-Prozess laden
• x64-PE im x64-Prozess laden
• Behandlung von Relokation und Importauflösung
• Vollständig in C# geschrieben

Wenn Sie dieses Projekt nützlich finden, würde ich mich über einen ⭐ freuen.

Verwendung

dotNetPELoader.exe --x64 x64_datei.exe
dotNetPELoader.exe --x86 x86_datei.exe
dotNetPELoader.exe --coffee

Demonstration

x64 - mimikatz

Wenn Sie versuchen, eine x86-PE zu laden, während der Loader ein x64-Loader ist, wird eine Ausnahme ausgelöst:

dotNetPELoader.exe --x64 mimikatz

x86 - mimikatz

dotNetPELoader.exe --x86 mimikatz