dotNetPELoader

セキュリティに関する注意

最近、このプロジェクトの非公式な改変版がこのリポジトリ外で再配布されていることを発見しました。

ファイルをレビューした結果、公式のソースコードには存在しない追加の隠しコンポーネントやスクリプト読み込み動作を特定しました。

ご注意ください：

• 非公式配布物には、元のソースコードの一部ではない追加の実行可能ファイルやスクリプト読み込み要素が含まれています。
• このプロジェクトの公式リリースはこのリポジトリのみで公開されています。
• 公式リリースには、追加のバッチファイル、隠しローダー、埋め込みスクリプトコンポーネントは含まれていません。

私はこのプロジェクトの第三者による再配布とは一切関係ありません。

安全上の理由から：

• 予期しない実行可能ファイルやローダーを含む再パッケージビルドを見つけても、実行しないでください。
• リリースはこのリポジトリからのみ直接ダウンロードしてください。
• 可能な限り、ビルド前にソースコードを確認してください。

分析用の PoC：https://iss4cf0ng.github.io/2026/02/24/2026-2-24-UnofficialRedistribution/

はじめに

x64 および x86 PE ファイル用の C# PE ローダーです。

最近、DuplexSpy RAT バージョン 2 のファイルレス実行手法を開発していたところ、C# ベースの x86 PE ローダーがほとんど見つかりませんでした。
既存の実装のほとんどは、Casey Smith が開発したもののように x64 専用でした。 そのため、私は C# ベースの x86 PE ローダーを自ら開発することにしました。

このコンソールアプリケーションは、x86 または x64 PE ファイルをメモリにロードできます。 まず、指定されたファイルパスからファイルのバイト列を読み取り、ローダーとターゲット PE ファイルのアーキテクチャを判定します。

x64 PE は x86 ローダーではロードできず、その逆も同様です。

機能

• x86 プロセスで x86 PE をロード
• x64 プロセスで x64 PE をロード
• リロケーションとインポート解決を処理
• 完全に C# で記述

もしこのプロジェクトが役に立ったと思われたら、⭐ をいただけると幸いです。

使用方法

dotNetPELoader.exe --x64 x64_file.exe
dotNetPELoader.exe --x86 x86_file.exe
dotNetPELoader.exe --coffee

デモンストレーション

x64 - mimikatz

ローダーが x64 ローダーであるときに x86 PE をロードしようとすると、例外がスローされます：

dotNetPELoader.exe --x64 mimikatz

x86 - mimikatz

dotNetPELoader.exe --x86 mimikatz