dotNetPELoader

보안 주의사항

최근 이 저장소 외부에서 재배포되는 비공식 수정 버전을 발견했습니다.

파일을 검토한 결과, 공식 소스 코드에 존재하지 않는 추가적인 숨겨진 구성 요소와 스크립트 로딩 동작을 확인했습니다.

다음 사항을 유의하시기 바랍니다:

• 비공식 배포본에는 원본 소스 코드의 일부가 아닌 추가 실행 파일 및 스크립트 로딩 요소가 포함되어 있습니다.
• 이 프로젝트의 공식 릴리스는 이 저장소에서만 게시됩니다.
• 공식 릴리스에는 추가 배치 파일, 숨겨진 로더 또는 내장 스크립트 구성 요소가 포함되어 있지 않습니다.

저는 본 프로젝트의 제3자 재배포와 관련이 없습니다.

안전을 위해:

• 예상치 못한 실행 파일이나 로더가 포함된 리패키지 빌드를 발견하면 실행하지 마십시오.
• 이 저장소에서 직접 릴리스를 다운로드하십시오.
• 가능하면 빌드 전에 소스 코드를 검토하십시오.

분석 PoC: https://iss4cf0ng.github.io/2026/02/24/2026-2-24-UnofficialRedistribution/

소개

x64 및 x86 PE 파일을 위한 C# PE 로더입니다.

최근 DuplexSpy RAT 버전 2를 위한 파일리스 실행 방식을 개발할 당시, C# 기반의 x86 PE 로더를 거의 찾을 수 없었습니다.
기존에 발견한 구현체들은 대부분 x64 전용이었습니다. (예: Casey Smith가 개발한 것)

그래서 직접 C# 기반 x86 PE 로더를 개발하기로 했습니다.

이 콘솔 애플리케이션은 x86 또는 x64 PE 파일을 메모리에 로드할 수 있습니다. 먼저 지정된 파일 경로에서 파일 바이트를 읽은 다음, 로더와 대상 PE 파일의 아키텍처를 확인합니다.

x64 PE는 x86 로더가 로드할 수 없으며, 그 반대도 마찬가지입니다.

기능

• x86 프로세스에서 x86 PE 로드
• x64 프로세스에서 x64 PE 로드
• 재배치 및 임포트 해결 처리
• 완전 C#으로 작성

이 프로젝트가 유용하다면 ⭐를 눌러주시면 감사하겠습니다.

사용법

dotNetPELoader.exe --x64 x64_file.exe
dotNetPELoader.exe --x86 x86_file.exe
dotNetPELoader.exe --coffee

데모

x64 - mimikatz

로더가 x64일 때 x86 PE를 로드하려고 하면 예외가 발생합니다:

dotNetPELoader.exe --x64 mimikatz

x86 - mimikatz

dotNetPELoader.exe --x86 mimikatz