LOLSpoof

LOLSpoofは、生成されたプロセスのコマンドライン引数を自動的に偽装するインタラクティブシェルプログラムです。 怪しげに見えるコマンドラインLOLBin（例：powershell -w hidden -enc ZwBlAHQALQBwAHIAbwBjAGUA....）を呼び出すだけで、LOLSpoofはプロセス生成のテレメトリが正当で明確に見えるようにします。

64ビットのLOLBinでのみ使用してください

なぜ

プロセスのコマンドラインは非常に監視されるテレメトリであり、AV/EDR、SOCアナリスト、脅威ハンターによって徹底的に検査されます。

仕組み

1. 実際のコマンドラインから偽装されたコマンドラインを準備します：lolbin.exe " " * sizeof(real arguments)
2. 偽装されたコマンドラインで、その一時停止されたLOLBinを起動します
3. リモートPEBアドレスを取得します
4. RTL_USER_PROCESS_PARAMETERS構造体のアドレスを取得します
5. コマンドラインのUnicodeバッファのアドレスを取得します
6. 偽のコマンドラインを実際のもので上書きします
7. メインスレッドを再開します

Opsec上の考慮事項

このシンプルな手法はコマンドライン検出をバイパスするのに役立ちますが、他の疑わしいテレメトリを導入する可能性があります：

1. 一時停止プロセスの作成
2. 新しいプロセスに末尾のスペースがあります（ただし、代わりに繰り返し文字やランダムデータにすることは非常に簡単です）
3. WriteProcessMemoryを使用して生成されたプロセスに書き込む

ビルド

Nim 1.6.12でビルドされています（Nim 2.Xでのコンパイルはエラーになります！）

nimble install winim

既知の問題

以前に出力されたコンソールメッセージをクリアまたは変更するプログラム（timeout.exe 10など）は、プログラムを壊します。そのようなコマンドを使用した場合、コンソールを再起動する必要があります。 その修正方法がわからないので、提案を歓迎します。