MalDev

やあ！私のリポジトリへようこそ :))))

私はキャプテン・マグマです。サイバーセキュリティ、マルウェア開発、そして分析に情熱を注いでいる個人です。

このリポジトリの目的は、私が学習し、ノートとコードでこのリポジトリを更新していく中で、自分のMalDevのロードパスを管理することです。
私はこれらのテクニックの作者ではありません。これは、私によるそれらの実装に過ぎません。

[!Important] 明確にしておきたいのですが、私は決して専門家ではなく、せいぜい初心者レベルです。ですので、このリポジトリから驚くべきAPTのようなマルウェアが生まれるとは期待しないでください。 また、このリポジトリは教育目的のみで設計されていることをお伝えしておきます。このコードを使えばすぐに捕まるだけでなく、自分が所有していないシステムで使用することは違法です。

現在のプロジェクトと状況

現時点では、これは成長中のリポジトリであり、そのため、ここにあるすべてのコードが意図した通りに動作するように多くの更新が行われる予定です。
この文を書いている時点で、完成して動作しているプログラムは以下の通りです。

• 暗号化

  • RC4
  • XOR
  • AES-256-GCM
  • ChaCha20
  • ヒープ暗号化

• ハッシュ

  • DJB2
  • SDBM
    • SDBMROL16

• 難読化

  • GetModuleHandle
  • GetProcAddress
  • API ハッシュ
  • PPID Spoofing
  • 二重難読化 (GetProcAddress + GetModuleHandle)
  • Memcpy + Strcpy + Strcmp
  • コンパイル時ハッシュ
  • プロセス再イメージ化

• ネイティブAPI

  • Nt シェルコードインジェクション

• Ntdll アンフック

  • ディスクからのマッピング
  • ファイルからの読み取り
  • サスペンドプロセス

• システムコール

  • APC システムコール
  • ダイレクトシステムコール
  • 間接システムコール

• スレッドハイジャック

  • ローカル
    • WinApi
    • システムコール
  • リモート
    • WinApi
    • システムコール

• マッピングインジェクション

  • ローカル
    • WinApi
    • システムコール
  • リモート
    • WinApi
    • システムコール

• アンチ分析

  • デバッグ検出
  • 自己削除

• アンチサンドボックス

  • メモリチェック
  • CPUID
  • SMBIOS

• 列挙

  • CreateToolhelp32Snapshot
  • NtQuerySysInfo
  • OS メタデータ

• プロセスインジェクション

  • シェルコードインジェクション
  • APC インジェクション
  • ファイバーインジェクション
  • アーリーバードインジェクション
  • プロセス催眠

• ストンピング

  • ローカル
  • リモート

• その他

  • PE ヘッダー取得
  • サスペンドプロセス
  • ターゲットファイル読み取り
  • IAT 修正
  • 再配置テーブル修正
  • ブルースクリーン
  • DLL ファイルのマッピング
  • 保護変更

• ハロウイング

  • プロセスハロウイング
    • WinApi
    • システムコール
  • 催眠ハロウイング

• ETW バイパス

  • Etw バイトパッチ
  • NtTraceEvent SSN パッチ

• AMSI バイパス

  • Amsi バイトパッチ

• Magma Gate

  • Magma Gate

• リフレクティブDLL

  • リフレクティブDLL

• DLL インジェクション

  • 基本 DLL インジェクション
  • システムコール DLL インジェクション
  • DLL Hijacking
  • DLL Sideloading

• 永続化

  • Windows レジストリ
  • Windows サービス

• スリープ難読化

  • スリープ難読化

• LSASS

  • MiniDumpWriteDump