Dirty Vanity

Windows の fork API を悪用して EDR を回避する、新しいインジェクション技術の POC です。

使い方

DirtyVanity.exe [TARGET_PID_TO_REFLECT]

実行手順

• [TARGET_PID_TO_REFLECT] にシェルコードを割り当てて書き込む
• [TARGET_PID_TO_REFLECT] を新しいプロセスにフォークする
• フォークしたプロセスの開始アドレスを、クローンしたシェルコードに設定する

シェルコード

リフレクトされたシェルコードは ntdll API で動作します。同梱の生成プロジェクト shellcode_template から生成されており、 提供: https://github.com/rainerzufalldererste/windows_x64_shellcode_template

シェルコードのカスタマイズ

シェルコードを簡単にカスタマイズするには:

• https://github.com/rainerzufalldererste/windows_x64_shellcode_template の手順に従って、shellcode_template プロジェクト内の shellcode_template 関数を編集します。
• コンパイルします。
• お好みのPEパースツール（例：IDA）で shellcode_template 関数のバイト列を切り出します。
• これらのバイト列は位置独立のシェルコードです。DirtyVanity.cpp に配置してください。
• DirtyVanity を実行して、リフレクトされる様子を確認します。