


Venom ist eine Bibliothek, die dazu dient, ausweichende Kommunikation mithilfe gestohlener Browser-Sockets durchzuführen.

Header-only-Bibliothek für C++17 zur Entwicklung von Evasion-Techniken unter Windows: Kompilierzeit-API-Hashing, DLL-Unhooking, Löschen von…

CobaltWhispers ist ein Aggressor-Skript, das eine Sammlung von Beacon Object Files (BOF) für Cobalt Strike nutzt, um Prozessinjektion, Persistenz und…

Interceptor ist ein Kernel-Treiber, der sich auf die Manipulation von EDR/AV-Lösungen im Kernel-Bereich konzentriert.

Ein Prototyp eines Malware-C2-Kanals, der x509-Zertifikate über mTLS verwendet.

Hardware-Breakpoint-Hooking-Engine für Windows, die Debug-Register nutzt, um Funktionen zu hooken, ETW/AMSI zu umgehen und der EDR-Überwachung im…

Ich habe alle AMSI-Patches dokumentiert, die ich bisher kennengelernt habe.

HWSyscalls ist eine neue Methode zur Ausführung indirekter Syscalls unter Verwendung von HWBP, HalosGate und einem synthetischen Trampolin auf…

Wenden Sie einen Teile-und-herrsche-Ansatz an, um EDRs zu umgehen.

Diese neuartige Methode zur Verwendung von NtQueueApcThreadEx durch Missbrauch der ApcRoutine- und SystemArgument[0-3]-Parameter, indem ein…

Kleines PoC zur Nutzung einer von Microsoft signierten ausführbaren Datei als lolbin.

Win32- und Kernel-Missbrauchstechniken für Pentester

Diese Karte listet die wesentlichen Techniken zur Umgehung von Antiviren- und EDR-Lösungen auf.

Umgeht EDR-Hooks, indem der NT-API-Stub gepatcht und SSNs sowie Syscall-Anweisungen zur Laufzeit aufgelöst werden.

Remote AES-verschlüsselte PE in den Speicher laden, entschlüsseln und ausführen

Shellcode-Loader mit indirekter dynamischer syscall-Implementierung, Shellcode im MAC-Format, API-Auflösung aus dem PEB, Syscall-Aufruf und Auflösung…

Bypass von Userland-EDR-Hooks durch Laden von reflektivem ntdll in den Speicher von einem entfernten Server basierend auf der Windows ReleaseID, um…