Gargoyle

Gargoyle es una prueba de concepto histórica de investigación para Windows sobre el estado temporal de la memoria. La implementación original en Win32/x86 sigue siendo la prueba canónica: una acción benigna es observable durante una pequeña ventana de trabajo, mientras que la región de código relevante pasa su intervalo inactivo como no ejecutable antes de la reentrada por temporizador/APC.

El repositorio renovado mantiene esa historia como eje central mientras añade demostraciones hermanas para x64, ARM64 y ARM64EC, un arnés de validación reproducible y un lenguaje de evidencia más claro. También documenta la ruta corregida de temporizador/APC en torno a SleepEx(INFINITE, TRUE).

Gargoyle no afirma invisibilidad ni evasión de productos. No es un cargador, un flujo de trabajo para operadores ni una guía de despliegue, y no proporciona persistencia, inyección, acceso a credenciales, redes ni orientación sobre C2.

Leer a continuación

• Inicio de la documentación para las rutas del lector y la orientación del proyecto.
• Uso responsable para los límites del alcance y los no objetivos.
• Inicio rápido para la ruta más corta y segura de compilación y validación.
• Temporizador APC y SleepEx para la ruta de evidencia corregida de espera alertable.
• Comparación de arquitecturas para lo que cada demostración hermana valida y lo que no demuestra.
• Descripción general de la validación para el lenguaje de evidencia usado en todo el repositorio.
• Referencias de investigación y linaje para el mapeo de fuentes y los límites de relación.

Arquitectura y límites de la evidencia

• Win32/x86 es la implementación histórica canónica.
• x64, ARM64 y ARM64EC son demostraciones hermanas, no reemplazos del diseño original.
• La demostración hermana x64 no es un port directo de la ruta original de gadget/trampolín de mshtml.dll en x86.
• La validación en vivo de x86/x64 usa dos MessageBoxes benignos. Eso valida la ejecución inicial y la reentrada controlada posterior, pero no la identidad de la callback ni todas las transiciones de protección de memoria.
• La validación sin interfaz de ARM64 y ARM64EC también comprueba los contadores de rondas completadas y de rondas de callback, lo que proporciona una evidencia más sólida de la entrega de callbacks.
• ARM64EC ejercita el comportamiento de asignación de código EC usado por esta demostración. No demuestra interoperabilidad mixta de DLL x64 ni prueba todos los patrones de código dinámico de ARM64EC.

Puerta local

uv sync --all-groups
just ci

Contexto histórico

• Gargoyle, una década después
• Artículo original de 2017