Gargoyle

Gargoyle ist ein historischer Windows-Forschungs-Proof-of-Concept für temporären Speicherzustand. Die ursprüngliche Win32/x86-Implementierung bleibt der kanonische Beweis: Eine harmlose Aktion ist während eines kleinen Arbeitsfensters beobachtbar, während der relevante Codebereich sein Ruheintervall nicht ausführbar verbringt, bevor die Timer-/APC-Wiedereintritt erfolgt.

Das aktualisierte Repository stellt diese Geschichte in den Mittelpunkt und ergänzt gleichrangige x64-, ARM64- und ARM64EC-Demonstrationen, eine reproduzierbare Validierungs-Harness und eine klarere Evidenzsprache. Es dokumentiert außerdem den korrigierten Timer-/APC-Pfad rund um SleepEx(INFINITE, TRUE).

Gargoyle erhebt keinen Anspruch auf Unsichtbarkeit oder Produktumgehung. Es ist kein Loader, kein Operator-Workflow und keine Bereitstellungsanleitung und bietet keine Persistenz, Injektion, Zugriff auf Anmeldeinformationen, Netzwerkfunktionen oder C2-Anleitung.

Weiterlesen

• Dokumentationsstartseite für Leserpfade und Projektorientierung.
• Verantwortungsvolle Nutzung für Geltungsbereichsgrenzen und Nicht-Ziele.
• Schnellstart für den kürzesten sicheren Build- und Validierungspfad.
• Timer-APC und SleepEx für den korrigierten Evidenzpfad des alertierbaren Wartens.
• Architekturvergleich dafür, was jede gleichrangige Demonstration validiert und was nicht beweist.
• Validierungsübersicht für die im gesamten Repository verwendete Evidenzsprache.
• Forschungsliteratur und Abstammung für Quellenzuordnung und Beziehungsgrenzen.

Architektur- und Evidenzgrenzen

• Win32/x86 ist die kanonische historische Implementierung.
• x64, ARM64 und ARM64EC sind gleichrangige Demonstrationen, keine Ersetzungen des ursprünglichen Designs.
• Die x64-Variante ist kein direkter Port des ursprünglichen x86-mshtml.dll-Gadget-/Trampolin-Pfads.
• Die Live-Validierung für x86/x64 verwendet zwei harmlose MessageBoxes. Das validiert die anfängliche Ausführung und den späteren kontrollierten Wiedereintritt, aber nicht die Callback-Identität oder jeden Speicherschutzübergang.
• Die Headless-Validierung für ARM64 und ARM64EC prüft außerdem Zähler für abgeschlossene Runden und Callback-Runden, was stärkere Evidenz für die Callback-Zustellung liefert.
• ARM64EC übt das in dieser Demo verwendete EC-Code-Zuweisungsverhalten aus. Es demonstriert weder gemischte x64-DLL-Interoperabilität noch beweist es jedes ARM64EC-Dynamikcode-Muster.

Lokales Gate

uv sync --all-groups
just ci

Historischer Kontext

• Gargoyle, ein Jahrzehnt später
• Originalartikel von 2017