飞星注入器v.2.0.5 开源 | 已绕过卡巴斯基EDR

显示全部楼层 · 发表于 2025-4-6 14:20:48

菜叶片发表于 2025-4-6 14:14
他怎么找的直接扫Winlogon内存验证映像完整性然后查所有进程句柄表吗....
不太理解火绒这种没内核对 ...

直接ObRegisterCallbacks给你ban掉OpenProcess不就完了

显示全部楼层 · 发表于 2025-4-6 14:33:10

隔山打空气发表于 2025-4-6 14:20
直接ObRegisterCallbacks给你ban掉OpenProcess不就完了

火绒不是说没有内核对抗吗？？另外根据他上面回显很显然我拿到完全访问令牌了都解析PEB了基址正确他这是。。怎么做到的内存注入不是没有回调函数吗

显示全部楼层 · 发表于 2025-4-6 14:36:26

WD 测试2.0.5b4 双击报毒。

显示全部楼层 · 发表于 2025-4-6 14:41:47

本帖最后由 lsop1349987 于 2025-4-6 14:49 编辑

补测：avast win10 虚拟机双击黑屏
管理员双击其他应用程序时报错

显示全部楼层 · 发表于 2025-4-6 14:44:23

Failed

显示全部楼层 · 发表于 2025-4-6 14:56:01

本帖最后由飞翔的蒲公英于 2025-4-6 15:06 编辑

安天杀毒miss
卡巴到现在还没拉黑吗？双击后卡巴的主防都没动静。

显示全部楼层 · 发表于 2025-4-6 14:56:51

本帖最后由菜叶片于 2025-4-6 15:00 编辑

lsop1349987 发表于 2025-4-6 14:41
补测：avast win10 虚拟机双击黑屏
管理员双击其他应用程序时报错

chacha20解密函数错误正在修复 XD能注入进去就是过了
但是
呃 Shellcode解密错了导致winlogon炸了
哎我是傻逼
我刚说我拿我github项目链接做密钥被火绒特征了
然后换密钥
结果密文忘换了导致密文的密钥还是原来那个
哈哈哈逆天

显示全部楼层 · 发表于 2025-4-6 15:05:46

Avast 静态 miss

显示全部楼层 · 发表于 2025-4-6 15:15:47

显示全部楼层 · 发表于 2025-4-6 15:22:38

呼啸山庄发表于 2025-4-6 15:15
补测 v2.0.5b5 failed

DMP:

okok Win11貌似窃取令牌会失败
我做了个explorer注入器
但是因为explorer太活跃了疯狂触发Shellcode打开计算器会给电脑整死机
XD

[病毒样本] 飞星注入器v.2.0.5 开源 | 已绕过卡巴斯基EDR