aaaddress1/skrull`Process Ghosting`을 이용하여 AV/EDR 시그니처 스캐닝을 우회하고 자동 샘플 제출을 방지하는 복사 방지형 멀웨어 실행 프로그램을 생성합니다. x64 PE 실행 파일을 지원합니다.
Skrull은 AV/EDR의 자동 샘플 제출 및 커널의 시그니처 스캐닝을 방지하는 멀웨어 DRM입니다. Process Ghosting 기법을 사용하여 피해자 시스템에서 멀웨어를 실행할 수 있는 런처를 생성합니다. 또한 런처는 완전히 복제 방지되어 있으며 제출 시 자연스럽게 손상됩니다.
이는 ROOTCON 및 HITCON 2021 발표의 개념 증명입니다. Skrull Like A King: From File Unlink to Persistence 및 Skrull Like A King：從重兵看守的天眼防線殺出重圍 를 확인해보세요 :)
현재는 ghosting 기법으로 인해 x64 PE만 지원합니다.
