dotNetPELoader

Avviso di sicurezza

Recentemente, ho scoperto una versione modificata non ufficiale di questo progetto ridistribuita al di fuori di questo repository.

Dopo aver esaminato i file, ho identificato componenti nascosti aggiuntivi e un comportamento di caricamento di script che NON esistono nel codice sorgente ufficiale.

Si prega di notare:

• La distribuzione non ufficiale include elementi eseguibili aggiuntivi e di caricamento script che NON fanno parte del codice sorgente originale.
• Le versioni ufficiali di questo progetto sono pubblicate SOLO in questo repository.
• Le versioni ufficiali NON contengono file batch aggiuntivi, loader nascosti o componenti script incorporati.

Non sono affiliato con alcuna ridistribuzione di terze parti di questo progetto.

Per motivi di sicurezza:

• Se incontri build reimpacchettate contenenti eseguibili o loader imprevisti, non eseguirli.
• Scarica le versioni solo direttamente da questo repository.
• Controlla il codice sorgente prima di compilare, quando possibile.

PoC per l'analisi: https://iss4cf0ng.github.io/2026/02/24/2026-2-24-UnofficialRedistribution/

Introduzione

Un loader PE in C# per file PE x64 e x86.

Recentemente, mentre stavo sviluppando un metodo di esecuzione fileless per DuplexSpy RAT versione 2, ho avuto difficoltà a trovare un loader PE x86 basato su C#.
La maggior parte delle implementazioni esistenti che ho trovato erano solo x64, come quella sviluppata da Casey Smith .

Pertanto, ho deciso di sviluppare io stesso un loader PE x86 basato su C#.

Questa applicazione console ti consente di caricare in memoria file PE sia x86 che x64. Prima, legge i byte del file dal percorso specificato, poi determina l'architettura sia del loader che del file PE di destinazione.

Un PE x64 non può essere caricato da un loader x86, e viceversa.

Caratteristiche

• Carica PE x86 in processo x86
• Carica PE x64 in processo x64
• Gestisce il rilocamento e la risoluzione degli import
• Completamente scritto in C#

Se trovi utile questo progetto, una ⭐ sarebbe apprezzata.

Utilizzo

dotNetPELoader.exe --x64 x64_file.exe
dotNetPELoader.exe --x86 x86_file.exe
dotNetPELoader.exe --coffee

Dimostrazione

x64 - mimikatz

Se provi a caricare un PE x86 mentre il loader è un loader x64, verrà generata un'eccezione:

dotNetPELoader.exe --x64 mimikatz

x86 - mimikatz

dotNetPELoader.exe --x86 mimikatz