Gargoyle

Gargoyle は、時間的なメモリ状態に関する歴史的な Windows 研究用概念実証です。元の Win32/x86 実装が正典的な証明であり続けています。すなわち、良性のアクションは小さな作業ウィンドウの間に観測可能であり、一方で該当するコード領域は、タイマー/APC による再エントリまでの休眠期間中は実行不可能な状態になります。

刷新されたリポジトリは、その歴史を中心に据えつつ、兄弟分である x64、ARM64、ARM64EC のデモンストレーション、再現可能な検証ハーネス、より明確なエビデンス表現を追加しています。また、SleepEx(INFINITE, TRUE) 周辺の修正されたタイマー/APC 経路についても文書化しています。

Gargoyle は不可視性や製品のバイパスを主張するものではありません。ローダー、オペレーターワークフロー、デプロイメントガイドではなく、永続化、インジェクション、資格情報アクセス、ネットワーキング、C2 のガイダンスも提供しません。

次に読む

• 読者向けの道筋とプロジェクトの方向性についてはドキュメントホーム。
• スコープの境界と非目標については責任ある利用。
• 最短の安全なビルドと検証の道筋についてはクイックスタート。
• 修正されたアラータブル待機のエビデンス経路についてはタイマー APC と SleepEx。
• 各兄弟デモンストレーションが何を検証し、何を証明しないかについてはアーキテクチャ比較。
• リポジトリ全体で使用されるエビデンス表現については検証の概要。
• ソースのマッピングと関係の境界については研究参考文献および系譜。

アーキテクチャとエビデンスの境界

• Win32/x86 は正典的な歴史的実装です。
• x64、ARM64、ARM64EC は兄弟分のデモンストレーションであり、元の設計の代替ではありません。
• x64 の兄弟分は、元の x86 mshtml.dll ガジェット/トランポリン経路の直接的な移植ではありません。
• x86/x64 のライブ検証では、2 つの良性の MessageBox を使用します。これは初期実行とその後の制御された再エントリを検証しますが、コールバックの同一性やすべてのメモリ保護遷移を検証するものではありません。
• ARM64 および ARM64EC のヘッドレス検証では、完了ラウンドとコールバックラウンドのカウンターも確認するため、より強力なコールバック配信のエビデンスが得られます。
• ARM64EC は、このデモで使用される EC コードの割り当て動作を実践します。x64 DLL の混在相互運用を示したり、すべての ARM64EC 動的コードパターンを証明したりするものではありません。

ローカルゲート

uv sync --all-groups
just ci

歴史的背景

• Gargoyle、10年後
• 2017年の元記事