飞星注入器v3.1 | 开源

菜叶片

Github项目主页（求大佬给个star谢谢啦 :3）

在v3.0的基础上 添加了以下内容
[+] 非标准的ChaCha20 Shellcode加密
       因为2.6版本在VT沙箱 标准ChaCha20加密常数 特征命中
[+] 不再在目标进程申请内存块
    VEH结点写入ntdll的data段空洞
      Shellcode写入kernel32!BaseDLLInitialize 已确认该初始化用函数不会再被调用


战绩
VT 5/72 且云沙箱未发现ChaCha20加密特征
天穹云沙箱 安全
卡巴斯基KES EDR基础版绕过
微步云沙箱 0/24 未知
any.run 风险值0/100

认输
冰盾iDefender
360核晶

经测试卡巴斯基KES和无核晶360极速版 已绕过
360开启核晶后无法绕过 第一次内存写入即被逮捕



3.0更新预告立的flag已经完成了
安天云沙箱 威胁等级未知 大模型未检出
然后下面大佬的Avira也双击miss


更新预告v3.2
[+] 将以原始内存操作 实现ntdll中的LdrGetProcedureProcess
      因为VT云沙箱认为我调用这个函数是DLL动态加载
[+] 将对编译生成的exe文件二次加工
      删除多余符号 IsDebuggerPresent被VT认为是反调试 TerminateProcess也被VT认为恶意
        感谢@00006666 大佬的建议 将加入无效数字签名和版本信息

另外我会尝试改造exploit-db的Windows 11 x64 - Reverse TCP Shellcode (564 bytes)
因为我是利用VEH劫持执行流 恢复执行流方式和常规无线程注入方式不同
需要自己写一段Loader 具体功能：

• 从VEH链表移除注入的恶意VEH 让shellcode只被运行一次
• 恢复原执行流 保证explorer正常运行
  

莒县小哥

Curve25519

ESET Smart Security Premium 解压、扫描不报，触发 LiveGuard 分析，LiveGuard kill

扫描日志
检测引擎的版本: 31794 (20250902)
日期: 2025/9/2  时间: 18:01:42
已扫描的磁盘、文件夹和文件: W:\Sandbox\Admin\DefaultBox\drive\W\StarFly3.1\StarFly3.1.exe
用户: DESKTOP-K07940I\Admin
已扫描的对象数: 2
检测数: 0
完成时间: 18:01:42  总扫描时间: 0 秒 (00:00:00)

2025/9/2 18:01:41;ESET 内核;ESET LiveGuard 正在分析文件，以确保其可安全使用。我们会在几分钟后给您发送通知。取消阻止文件(不建议)更改设置;DESKTOP-K07940I\Admin

2025/9/2 18:04:05;文件系统实时防护;文件;\Device\TweakCubeRamDisk0\Sandbox\Admin\DefaultBox\drive\W\StarFly3.1\StarFly3.1.exe;ESET LiveGuard 特洛伊木马;已通过删除清除;DESKTOP-K07940I\Admin;尝试通过应用程序访问文件时发生事件: C:\Windows\explorer.exe (F9C05A8F0444EBA66D1B7792FDBAA287BDB12B30).;3FFCB637BA550FCA6C3C3FBB5942B5894FD84FDA;2025/9/2 18:01:19;;

DeepSeek

认输
冰盾iDefender
赛门铁克静态查杀
360核晶

想办法干这几个啊

LeeHS

cortex 双击杀，但出现弹窗

心醉咖啡

360

xjwtzq

GDATA miss

一成不变

卡巴加油啊

菜叶片

心醉咖啡 发表于 2025-9-2 19:51
360

可能我下午开着核晶连网测 360入库了

JeanABC

一成不变 发表于 2025-9-2 21:05
卡巴加油啊

邮件方式上报了，不知道最后能不能肘赢