Gargoyle

Gargoyle é uma prova de conceito histórica de pesquisa em Windows sobre estado temporal de memória. A implementação original Win32/x86 permanece como a prova canônica: uma ação benigna é observável durante uma pequena janela de trabalho, enquanto a região de código relevante passa seu intervalo dormente como não executável antes da reentrada por timer/APC.

O repositório atualizado mantém essa história como elemento central, ao mesmo tempo que adiciona demonstrações irmãs para x64, ARM64 e ARM64EC, um harness de validação reproduzível e uma linguagem de evidência mais clara. Ele também documenta o caminho corrigido de timer/APC em torno de SleepEx(INFINITE, TRUE).

Gargoyle não reivindica invisibilidade nem contorno de produtos. Não é um loader, fluxo de trabalho de operador ou guia de implantação, e não fornece persistência, injeção, acesso a credenciais, rede ou orientação de C2.

Leia a seguir

• Página inicial da documentação para caminhos de leitura e orientação do projeto.
• Uso responsável para limites de escopo e não objetivos.
• Início rápido para o caminho mais curto e seguro de build e validação.
• Timer APC e SleepEx para o caminho corrigido de evidência de espera alertável.
• Comparação de arquiteturas para o que cada demonstração irmã valida e não prova.
• Visão geral da validação para a linguagem de evidência usada em todo o repositório.
• Referências de pesquisa e linhagem para mapeamento de fontes e limites de relacionamento.

Arquitetura e limites de evidência

• Win32/x86 é a implementação histórica canônica.
• x64, ARM64 e ARM64EC são demonstrações irmãs, não substitutas do design original.
• A irmã x64 não é uma porta direta do caminho original de gadget/trampoline mshtml.dll em x86.
• A validação ao vivo em x86/x64 usa dois MessageBoxes benignos. Isso valida a execução inicial e a reentrada controlada posterior, mas não a identidade do callback nem todas as transições de proteção de memória.
• A validação headless em ARM64 e ARM64EC também verifica contadores de rodadas concluídas e de rodadas de callback, fornecendo evidência mais forte de entrega de callback.
• ARM64EC exercita o comportamento de alocação de código EC usado por esta demo. Ele não demonstra interoperabilidade de DLL x64 mista nem prova todos os padrões de código dinâmico ARM64EC.

Gate local

uv sync --all-groups
just ci

Contexto histórico

• Gargoyle, uma década depois
• Artigo original de 2017