Малварь как искусство Различные фреймворки для обхода EDR систем

[X-Shar]

Предлагаю в этой теме выкладывать различные фреймворки для обхода и тестирования EDR систем.

Вот что получилось найти на гитхабе (Более-менее новые).

1)TerraLdr:

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

Details:​

• no crt functions imported
• syscall unhooking using
  Вы должны зарегистрироваться, чтобы увидеть внешние ссылки
• api hashing using Rotr32 hashing algo
• payload encryption using rc4 - payload is saved in .rsrc
• process injection - targetting 'SettingSyncHost.exe'
• ppid spoofing & blockdlls policy using NtCreateUserProcess
• stealthy remote process injection - chunking
• using debugging & NtQueueApcThread for payload execution

2)Alaris:

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

Alaris is a new and sneaky shellcode loader capable of bypassing most EDR systems as of today (02/28/2021). It uses several known TTP’s that help protect the malware and it’s execution flow. Some of these features are:

• Shellcode Encryption (AES-CBC 256)
• Direct x86 Syscalls via
  Вы должны зарегистрироваться, чтобы увидеть внешние ссылки
  new
  Вы должны зарегистрироваться, чтобы увидеть внешние ссылки
• Prevents 3rd party (non-Microsoft Signed) DLL’s from hooking or injecting both the parent and child processes.
• Parent Process ID spoofing
• Overwrites it’s own shellcode after execution.

Если кто ещё знает накидайте фреймворков.)

 

[X-Shar]

Вот это:Малварь как искусство - Фреймворк для тестирования антивирусов

И это ещё:

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

 

[q8yas]

hi boss how are yo ?

in this Alaris

how i can use it ? i confused because this project have python builder.py and sln project also this link

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

not work

 

[X-Shar]

The assembly instructions, as well as video tutorials, can be viewed here:

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

 

[X-Shar]

Video...

 

[q8yas]

Посмотреть вложение 60996

Video...

hi brother yes i see video but i don't understand
is first compile sln project then use use builder.py ?

 

[X-Shar]

is first compile sln project then use use builder.py ?

builder.py should fully assemble the entire project.