Proof of Concept für Prozess-Code-Injection ohne Verwendung von WriteProcessMemory
InjectSetConsole führt eine Prozess-Code-Injektion durch und nutzt dabei eine Windows Named Pipe.
Im Gegensatz zu traditionellen Techniken werden die APIs VirtualAllocEx und WriteProcessMemory nicht verwendet.
InjectSetConsole.exe <executable_path>
executable_path: netsh.exe, nslookup.exe,... oder ein anderes interaktives Konsolenprogramm
Beispiel: InjectSetConsole.exe C:\Windows\System32\netsh.exe
Um anderen Shellcode zu verwenden, ersetzen Sie die Bytes ab Offset 0x19 (hexadezimal) im rawData-Array.
Alternativ können Sie das Suchmuster ändern, um die Evasion zu verbessern.
EDR Evasion: Process Injection Without WriteProcessMemory
Youtube: https://youtu.be/DCUnbj_usPM
