本仓库演示了一个用于枚举计时器队列（timer-queue）计时器的 PoC 内存扫描器，该技术被用于 Ekko 睡眠混淆（Sleep Obfuscation）：https://github.com/Cracked5pider/Ekko。如需完整的技术讲解，请参阅随附的博客文章：https://labs.withsecure.com/publications/hunting-for-timer-queue-timers.html。
以下截图展示了在 Ekko 运行期间扫描计时器队列计时器的结果：
注意：需要提醒的是，本 PoC 已在 Windows 10 1607 和 Windows 10 21h2 上测试通过。但由于它依赖未文档化的功能，未来的 Windows 版本可能会导致其失效。
此外，此工具要求正确配置符号，因此您需要预先安装 Windows 调试工具（WinDbg）作为前置条件。
