Ekko

CreateTimerQueueTimer Win32 API를 사용하는 작은 sleep 난독화 기법입니다.
개념 증명(PoC)이며, 더 개선할 수 있습니다.

참고

이 구현에는 알려진 결함이 있습니다.
따라서 이 기법이 어떻게 작동하는지 이해하거나 해당 결함을 찾아 수정하는 방법을 모른다면 사용하지 않는 것이 좋습니다.
요약: 임플란트에 그대로 복사해서 붙여넣지 마세요.

크레딧

• Austin Hudson (@SecIdiot) https://suspicious.actor/2022/05/05/mdsec-nighthawk-study.html
• Peter Winter-Smith가 최초로 발견했으며 MDSec의 Nighthawk에서 사용되었습니다.