kaandemir993/acrstealer-custom-protocol-credential-theft-payload-extraction-analysisAcrStealer 逆向工程分析——这是一款复杂的恶意信息窃取程序，采用自定义协议、浏览器凭据窃取和载荷提取。包含 Task.Protocol、BrowserQueryEnabledDomains、WriteProcessMemory 及完整 API 列表。
yarrick/iodine通过 DNS 服务器隧道传输 IPv4 数据，以绕过防火墙限制，并为渗透测试提供隐蔽的网络访问。
whispergate/lldp适用于 Mythic 的 C2 配置文件，通过 IEEE 802.1AB LLDP 组织特定 TLV 隧道封装加密的点对点代理流量，以实现隐蔽的二层命令与控制。
h3x0v3rl0rd/php_reverse_shell简单的 PHP 反弹 Shell 脚本，用于在目标系统上建立远程命令执行。非常适合渗透测试和安全评估。
kaandemir993/dropper-gcleaner-c2-infrastructure-kernel-driver-powershell-conhost-payload-analysis针对 Dropper GCleaner 的逆向工程分析，该恶意软件使用具有弹性的 C2 基础架构、内核驱动程序加载、PowerShell/Conhost 执行以及 .rdata 载荷提取。包含 30+ 个 C2 域名、NtLoadDriver 及完整 API 列表。
cenobyte-vincit/slot2UEFI GRUB2启动套件，通过NVRAM启动选项安装预启动网络植入物，链式加载UKI，执行dracut载荷，并通过kexec加载原厂内核。
kaandemir993/redline-stealer-c2-defender-bypass-payload-analysis针对 RedLine Stealer 的逆向工程分析，这是一个基于 .NET 的信息窃取程序，使用 C2 域名（198.46.86.63、tempuri.org），绕过 Windows Defender，并提取 7200 KB 的载荷。
gmh5225/aether-c2-framework🛠️ 使用 Aether-C2-Framework 探索自定义 C2 TTP，专注于轻量级 Rust 植入物和隐蔽传输栈，以减小取证足迹。
pr0xylife/qakbot专注于银行木马和僵尸网络的威胁情报与恶意软件分析仓库，提供入侵指标（IOCs）、C2 指标以及用于检测和防御的行为研究。
emcghee/payloadautomation通过 Python 到 Sleep 的桥接，自动化 Cobalt Strike 载荷开发、测试和部署；包括工件检查、IoC 追踪和编译。
trustedsec/sliverkeylogger用于 Sliver C2 植入框架的 Windows 键盘记录模块，使用 Raw Input 捕获按键，并向操作员提供启动、停止和检索命令。
tihanyin/pssw100avb一系列有用的 PowerShell 脚本，100% 免杀（在发布时）。
paranoidninja/brute-ratel-c4-community-kit该仓库包含用于 Brute Ratel C4 (https://bruteratel.com/) 的脚本、配置及已弃用的载荷加载器。
bc-security/empireEmpire 是一个后渗透与对手模拟框架，用于协助红队和渗透测试人员。
xforcered/bokuloader一个概念验证（Proof-of-Concept）Cobalt Strike 反射加载器，旨在重现、集成并增强 Cobalt Strike 的规避功能！
pr0xylife/gozi具备浏览器注入和命令与控制功能的银行木马，用于窃取凭据和财务数据；与恶意软件分析、检测和威胁情报相关。
cr4sh/s6_pcie_microblaze用于 Xilinx SP605 的 PCI Express DIY 黑客工具包。此仓库同时也是 Hyper-V Backdoor 和 Boot Backdoor 的所在地，相关链接和信息请参阅 readme。
