florylsk/recycledinjector탐지 불가능한 실행을 위한 HellsGate/HalosGate/TartarusGate 기반의 네이티브 시스템 콜 셸코드 인젝터로, 외부 셸코드 로딩 및 취약한 드라이버 종료를 통한 EDR 우회 기능 포함.
(현재) 동일 프로세스 내에서 네이티브/.NET 어셈블리 셸코드를 주입하는 완전 미탐지 도구입니다. RecycledGate를 기반으로 하며, 이는 다시 HellsGate + HalosGate + TartarusGate를 기반으로 합니다. 한 기법이 실패하더라도 탐지 불가능한 네이티브 시스템 콜을 보장합니다.
은밀성을 유지하고 최종 실행 파일의 엔트로피를 낮추기 위해 셸코드는 항상 외부에서 로드되어야 합니다. 대부분의 AV/EDR은 어차피 실행 파일이나 DLL이 아닌 파일에서 시그니처를 검사하지 않기 때문입니다.
또한 '완전 미탐지'는 셸코드 로딩 자체에 국한된다는 점이 중요합니다. 셸코드 자체는 여전히 행동 모니터링의 대상이므로, 로드되는 실행 파일 역시 방어 회피 기법을 사용해야 합니다 (예: Mimikatz 대신 DInvoke를 사용하는 SharpKatz).
.\RecycledInjector.exe <셸코드_파일_경로>
이 개념 증명은 ZeroMemoryEx의 Terminator를 활용하여 시스템에 존재하는 대부분의 보안 솔루션/에이전트를 종료합니다. Microsoft Defender for Endpoint EDR을 대상으로 사용되었습니다.
왼쪽 화면에서는 Terminator 셸코드를 주입하여 취약한 드라이버를 로드하고 MDE 프로세스를 종료합니다. 오른쪽 화면은 메모리에서 원격으로 Invoke-Mimikatz를 로드하고 실행하는 예시로, 시스템에 실행 중인 보안 솔루션이 더 이상 없어 탐지되지 않습니다.
