dotNetPELoader

Уведомление о безопасности

Недавно я обнаружил неофициальную модифицированную версию этого проекта, распространяемую за пределами данного репозитория.

После проверки файлов я выявил дополнительные скрытые компоненты и поведение по загрузке скриптов, которых НЕТ в официальном исходном коде.

Пожалуйста, имейте в виду:

• Неофициальное распространение включает дополнительные исполняемые и скриптозагрузочные элементы, которые НЕ являются частью исходного кода.
• Официальные релизы этого проекта публикуются ТОЛЬКО в этом репозитории.
• Официальные релизы НЕ содержат дополнительных пакетных файлов, скрытых загрузчиков или встроенных скриптовых компонентов.

Я не связан с каким-либо сторонним распространением этого проекта.

Из соображений безопасности:

• Если вы встретите переупакованные сборки, содержащие неожиданные исполняемые файлы или загрузчики, не запускайте их.
• Загружайте релизы только напрямую из этого репозитория.
• По возможности просматривайте исходный код перед сборкой.

PoC для анализа: https://iss4cf0ng.github.io/2026/02/24/2026-2-24-UnofficialRedistribution/

Введение

Загрузчик PE-файлов на C# для x64 и x86.

Недавно, когда я разрабатывал метод безфайлового выполнения для DuplexSpy RAT версии 2, я с трудом мог найти загрузчик PE на C# для x86.
Большинство существующих реализаций, которые я нашел, были только для x64, например, разработанная Casey Smith .

Поэтому я решил сам разработать загрузчик PE на C# для x86.

Это консольное приложение позволяет загружать в память как x86, так и x64 PE-файлы. Сначала оно читает байты файла из указанного пути, затем определяет архитектуру как загрузчика, так и целевого PE-файла.

x64 PE не может быть загружен x86-загрузчиком, и наоборот.

Возможности

• Загружать x86 PE в x86-процесс
• Загружать x64 PE в x64-процесс
• Обрабатывает релокации и разрешение импорта
• Полностью написано на C#

Если вы находите этот проект полезным, ⭐ будет оценена.

Использование

dotNetPELoader.exe --x64 x64_file.exe
dotNetPELoader.exe --x86 x86_file.exe
dotNetPELoader.exe --coffee

Демонстрация

x64 - mimikatz

Если попытаться загрузить x86 PE, когда загрузчик является x64, будет выброшено исключение:

dotNetPELoader.exe --x64 mimikatz

x86 - mimikatz

dotNetPELoader.exe --x86 mimikatz