ExecIT

描述

基于 HWSyscalls 的 DLL Shellcode 自注入器/运行器，最适合通过 rundll32 执行。如果受害端点能够访问攻击者控制的 SMB 共享，则可能实现无文件执行。

用法

rundll32.exe ExecIT.dll, HelperFunc, <path_to_file>

检测

截至目前此提交，它在所有已测试的 EDR 中完全未被检测到（取决于 shellcode）。

例如，针对 Defender for Endpoint EDR：

免责声明

本仓库中提供的信息/文件严格仅用于教育和道德目的。这些技术和工具旨在以合法且负责任的方式使用，并须获得目标系统所有者的明确同意。严禁对这些技术和工具进行任何未经授权或恶意使用，否则可能导致法律后果。对于因滥用所提供信息而可能产生的任何损害或法律问题，本人概不负责。