RecycledInjector

説明

（現時点では）完全に検出されない同一プロセス内のネイティブ/.NETアセンブリシェルコードインジェクタ。RecycledGate（thefLink作）に基づいており、さらにHellsGate + HalosGate + TartarusGateに基づいて、1つの手法が失敗しても検出されないネイティブシステムコールを保証します。

ステルス性を保ち、最終的な実行可能ファイルのエントロピーを低く抑えるために、シェルコードは常に外部から読み込むようにしてください。ほとんどのAV/EDRは非実行可能ファイルやDLLファイルの署名をチェックしないためです。

また重要なのは、「完全に検出されない」部分はシェルコードの読み込みを指していることです。ただし、シェルコードは依然として動作監視の対象となるため、読み込んだ実行可能ファイルも防御回避技術（例：MimikatzではなくDInvokeを特徴とするSharpKatz）を利用していることを確認してください。

使い方

.\RecycledInjector.exe <path_to_shellcode_file>

概念実証

この概念実証は、ZeroMemoryExによるTerminatorを活用して、システム上のほとんどのセキュリティソリューション/エージェントを無効化します。Microsoft Defender for Endpoint EDRに対して使用されています。

左側ではTerminatorシェルコードを注入して脆弱なドライバを読み込み、MDEプロセスを強制終了しています。右側は、Invoke-Mimikatzをメモリからリモートで読み込み実行する例であり、システム上に動作中のセキュリティソリューションが存在しないため、停止されることはありません。