Ekko

Una piccola tecnica di offuscamento della sleep che utilizza l'API Win32 CreateTimerQueueTimer.
Prova di concetto. Può essere fatta meglio.

NOTA

Questa implementazione ha dei difetti noti.
Quindi non consiglierei di usarla senza sapere come funziona o sapere come individuare e correggere questi difetti.
TLDR: non copiarla e incollarla nei tuoi implant.

Crediti

• Austin Hudson (@SecIdiot) https://suspicious.actor/2022/05/05/mdsec-nighthawk-study.html
• Originariamente scoperta da Peter Winter-Smith e utilizzata in MDSec’s Nighthawk