nim-loader

очень грубое, незавершённое приключение в изучение Nim путём сборки разрозненных ресурсов для создания загрузчика шелл-кода, реализующего распространённые техники обхода EDR/AV.

Это бардак и предназначено только для исследовательских целей! Пожалуйста, не ожидайте, что он скомпилируется и будет работать без ваших собственных изменений.

Инструкции

• Замените массив байтов в loader.nim на свой собственный x64 шелл-код
• Скомпилируйте EXE и запустите его: nim c -d:danger -d:strip --opt:size "loader.nim"
• Вероятно, вам потребуется настроить процесс, в который вы хотите внедряться, просматривая .nim файлы в используемой папке метода инъекции...

Реализованные функции

• Прямые системные вызовы, динамически разрешённые из NTDLL (спасибо @ShitSecure)
• Патчинг AMSI и ETW (спасибо @byt3bl33d3r)
• Отключение перехвата NTDLL (спасибо @MrUn1k0d3r)
• Инъекция CreateRemoteThread (спасибо @byt3bl33d3r, @ShitSecure)

Функции в разработке

• Техника Process Hollowing (спасибо @snovvcrash)
• Шифрование/дешифрование шелл-кода с помощью [AES в режиме CTR](https://en.wikipedia.org/wiki/Block_cipher_mode_of_operation#Counter_(CTR) (спасибо @snovvcrash)