Ekko

Небольшая техника обфускации сна, использующая Win32 API CreateTimerQueueTimer.
Это Proof of Concept. Можно реализовать лучше.

ПРИМЕЧАНИЕ

В данной реализации есть известные недостатки.
Поэтому я не рекомендую использовать её без понимания того, как она работает, и без умения замечать и исправлять эти недостатки.
TLDR: не копируйте и не вставляйте её в свои импланты.

Авторство

• Austin Hudson (@SecIdiot) https://suspicious.actor/2022/05/05/mdsec-nighthawk-study.html
• Изначально обнаружена Peter Winter-Smith и использовалась в Nighthawk от MDSec