florylsk/recycledinjectorIniettore di shellcode tramite syscall nativo che utilizza HellsGate/HalosGate/TartarusGate per un'esecuzione non rilevabile, con caricamento di shellcode esterno e elusione degli EDR tramite terminazione di driver vulnerabili.
(Attualmente) Iniettore di shellcode nativo/.NET nello stesso processo completamente non rilevato basato su RecycledGate di thefLink, che a sua volta si basa su HellsGate + HalosGate + TartarusGate per garantire syscall native non rilevabili anche se una tecnica fallisce.
Per rimanere furtivi e mantenere bassa l'entropia sull'eseguibile finale, assicurati che lo shellcode sia sempre caricato esternamente poiché la maggior parte degli AV/EDR non controllerà comunque le firme su file non eseguibili o DLL.
Importante anche notare che la parte "completamente non rilevato" si riferisce al caricamento dello shellcode, tuttavia lo shellcode sarà ancora soggetto al monitoraggio del comportamento, quindi assicurati che l'eseguibile caricato faccia anche uso di tecniche di evasione della difesa (ad esempio, SharpKatz che presenta DInvoke invece di Mimikatz).
.\RecycledInjector.exe <path_to_shellcode_file>
Questa prova di concetto sfrutta Terminator di ZeroMemoryEx per uccidere la maggior parte delle soluzioni/agenti di sicurezza presenti sul sistema. Viene utilizzato contro Microsoft Defender for Endpoint EDR.
A sinistra iniettiamo lo shellcode di Terminator per caricare il driver vulnerabile e uccidere i processi MDE, mentre a destra c'è un esempio di caricamento ed esecuzione remota di Invoke-Mimikatz dalla memoria, che non viene fermato poiché non c'è più alcuna soluzione di sicurezza in esecuzione sul sistema.
