Gargoyle

Gargoyle è una proof of concept storica di ricerca su Windows relativa allo stato temporale della memoria. L'implementazione originale Win32/x86 rimane la prova canonica: un'azione benigna è osservabile durante una piccola finestra di lavoro, mentre la regione di codice rilevante trascorre il suo intervallo dormiente in stato non eseguibile prima del rientro tramite timer/APC.

Il repository aggiornato mantiene centrale quella storia aggiungendo dimostrazioni sorelle x64, ARM64 e ARM64EC, un harness di validazione riproducibile e un linguaggio probatorio più chiaro. Documenta inoltre il percorso corretto timer/APC attorno a SleepEx(INFINITE, TRUE).

Gargoyle non rivendica invisibilità né aggiramento di prodotti. Non è un loader, un flusso operativo per operatori o una guida al deployment, e non fornisce persistenza, injection, accesso a credenziali, networking o indicazioni per C2.

Leggi successivamente

• Home della documentazione per i percorsi del lettore e l'orientamento al progetto.
• Uso responsabile per i confini di ambito e i non-obiettivi.
• Avvio rapido per il percorso più breve e sicuro di build e validazione.
• Timer APC e SleepEx per il percorso probatorio corretto dell'attesa allertabile.
• Confronto delle architetture per ciò che ciascuna dimostrazione sorella valida e ciò che non dimostra.
• Panoramica della validazione per il linguaggio probatorio usato in tutto il repository.
• Riferimenti di ricerca e lineage per la mappatura delle fonti e i confini delle relazioni.

Architettura e confini probatori

• Win32/x86 è l'implementazione storica canonica.
• x64, ARM64 e ARM64EC sono dimostrazioni sorelle, non sostituti del design originale.
• La sorella x64 non è un port diretto del percorso gadget/trampoline originale x86 di mshtml.dll.
• La validazione live x86/x64 usa due MessageBox benigni. Ciò valida l'esecuzione iniziale e il successivo rientro controllato, ma non l'identità della callback né ogni transizione di protezione della memoria.
• La validazione headless ARM64 e ARM64EC verifica anche i contatori dei round completati e dei round di callback, fornendo prove più solide sulla consegna delle callback.
• ARM64EC esercita il comportamento di allocazione del codice EC usato da questa demo. Non dimostra l'interop misto con DLL x64 né prova ogni pattern di codice dinamico ARM64EC.

Gate locale

uv sync --all-groups
just ci

Contesto storico

• Gargoyle, un decennio dopo
• Articolo originale del 2017