免杀木马生成器

🟢 github上的免杀项目

- ×代表无法免杀

- √代表可以免杀 | 序号 | 项目地址 | 项目简介 | Microsoft Defender | 火绒 | 360安全卫士 | 卡巴斯基 | 时间 | 备注 |
  | :- | :——————————————————————————————————————————————— | :———————————— | :———————– | :- | :—— | :— | :——– | :————————- |
  | 1 | https://github.com/Pizz33/JoJoLoader | 助力红队成员一键生成免杀木马，使用rust实现 (by_hyyrent) | × | √ | × | √ | 0708自测 | |
  | 2 | https://github.com/Joe1sn/S-inject | DLL+Shellcode的Windows注入免杀工具 | 罗列各种方法，免杀推荐搭配其他技巧，要灵活使用 | | | | | |
  | 3 | https://github.com/T4y1oR/RingQ | 一键免杀上线CS、fscan、mimikatz … | × | √ | √ | × | 0709自测 | create.exe未开源 |
  | 4 | https://github.com/HackerCalico/No_X_Memory_ShellCode_Loader | 无可执行权限加载 ShellCode | 并非直接生成免杀马 | | | | | |
  | 5 | https://github.com/Cherno-x/dataBrawl | 一键生成免杀木马的 shellcode 免杀框架 | 大型活动期间暂停维护，已删除核心template | | | | | |
  | 6 | https://github.com/A-little-dragon/GoBypassAV | Go语言编写的免杀工具，支持自动化随机加解密 | × | × | | | 0416issue | 未开源;执行命令时出错： exit status 1 |
  | 7 | https://github.com/Cipher7/ApexLdr | 纯C代码开发的DLL载荷加载器 | | | | | | 开源、makefile |
  | 8 | https://github.com/yj94/BinarySpy | 一个手动或自动patch shellcode到二进制文件的免杀工具 | 免杀依赖于shellcode | | | | 0808 | |
  | 9 | https://github.com/timwhitez/BinHol | 三种方式在你的pe二进制中插入恶意代码 | 免杀依赖于shellcode | | | | 0808 | |
  | 10 | https://github.com/yinsel/BypassA | 一款基于PE Patch技术的后渗透免杀工具，仅支持x64 | 无操作步骤说明 | | | | 0808 | 未开源 |
  | 11 | https://github.com/hhuang00/go-bypass-loader | go实现的shellcode免杀加载器 | | √ | √ | | 0806作者自述 | |
  | 12 | https://github.com/berryalen02/PECracker | 针对PE文件的分离的免杀对抗工具。 | √ | | √ | | 0813作者自述 | 未开源 |

免杀中用到的工具

🟢 绝大部分无法直接生成免杀木马，开发、测试免杀时会用到。

工具简称	概述	工具来源	下载路径
x64dbg 中文版安装程序(Jan 6 2024).exe		52pojie
hellshell	官方的加密或混淆shellcode	github	https://gitlab.com/ORCA000/hellshell/-/releases
hellshell-网络版本		github	https://github.com/SenSecurity/Hellshell-with-more-fuctionality
Dependencies.AheadLib.Plugin	在dependencies上额外加了导出函数	看雪	https://bbs.kanxue.com/thread-260874.htm
Dependencies		github	https://github.com/lucasg/Dependencies
ChangeTimestamp.exe	更改时间戳
sgn_windows_amd64_2.0.1	对二进制文件编码免杀shellcode	github	https://github.com/EgeBalci/sgn
Resource Hacker
BeaconEye_x64	通过扫描CobaltStrike中的内存特征，并进行Beacon Config扫描解析出对应的Beacon信息	github	https://github.com/CCob/BeaconEye/releases
Hunt-Sleeping-Beacons		github	https://github.com/thefLink/Hunt-Sleeping-Beacons
yara-master-2298-win64	分类恶意软件样本的工具	github	https://github.com/VirusTotal/yara
Windows_Trojan_CobaltStrike.yar	Elastic安全公司开源检测CobaltStrike的yara规则	github	https://github.com/elastic/protections-artifacts/blob/main/yara/rules/Windows_Trojan_CobaltStrike.yar
hollows_hunter64		github	https://github.com/hasherezade/hollows_hunter
arsenal_kit		telegram
DLLSpy	检测正在运行的进程、服务及其二进制文件中的 DLL 劫持	github
Process Hacker 2	查看进程
Alcatraz	没下载， x64 二进制混淆器，能够混淆各种不同的 pe 文件	github	https://github.com/weak1337/Alcatraz
pestudio-9.58	查看文件熵值等信息，逆向等可用	官网下载	https://www.winitor.com/download2
https://junkcode.gehaxelt.in/	垃圾代码生成器，降低熵值	github	https://github.com/gehaxelt/PHP-C—JunkCodeGenerator
sgn_windows_amd64_2.0.1	编码shellcode	github
ChangeTimestamp.exe	改时间
SigThief	把签名撕取下来	github	https://github.com/secretsquirrel/SigThief
Restorator2018	伪造图标	https://www.sqlsec.com/tools.html	https://www.sqlsec.com/tools.html
BeCyIconGrabber.exe	伪造图标	https://www.sqlsec.com/tools.html	https://www.sqlsec.com/tools.html
SourcePoint	自生成Malleable C2 profile	github	https://github.com/Tylous/SourcePoint
S-inject	DLL+Shellcode的Windows注入免杀工具	github	https://github.com/Joe1sn/S-inject
RingQ	免杀，exe2shellcode	github	https://github.com/T4y1oR/RingQ
pe2shc.exe	pe_to_shellcode	github	https://github.com/hasherezade/pe_to_shellcode/
pengcode	exe转换成shellcode	github	https://github.com/Mephostophiles/PengCode
SharpIncrease	一种利用二进制填充来逃避 AV 的工具	github	https://github.com/mertdas/SharpIncrease
deoptimizer	对shellcode进行反优化，rust	github	https://github.com/EgeBalci/deoptimizer
DojoLoader	用于快速原型逃避技术的通用 PE 加载器	github	https://github.com/naksyn/DojoLoader
FetchPayloadFromDummyFile	使用偏移量数组构造有效载荷	github	https://github.com/NUL0x4C/FetchPayloadFromDummyFile
CFF_Explorer		看雪
CppDevShellcode-master	使用Visral Studio开发ShellCode	github
ShellcodeCompiler		github	https://github.com/NytroRST/ShellcodeCompiler
20240125 CobaltStrike arsenal-kit更新	主要相比上一次的kit增加了一个对sleepmask的编译混淆，主要解决sleepmask code本身在内存中的特征	星球	https://wx.zsxq.com/dweb2/index/topic_detail/211418818824441
PushPlus2	上线自动推送，截图等	github	https://github.com/S9MF/my_script_tools/tree/main/CS%E6%8F%92%E4%BB%B6
BinHol	Patch白程序的工具	github	https://github.com/timwhitez/BinHol
BinarySpy	Patch白程序的工具	github	https://github.com/yj94/BinarySpy
pconlife	下载不同内核版本windows里的系统文件，之所以用到它还是因为之前星球里发的Patch手法，今天抓了个样本就是Patch的windows中的系统文件，但是windows不同版本里面的文件也不完全一样，把所有版本都装一遍肯定不现实	github	https://www.pconlife.com/
ShellcodeCompiler	将 C/C++ 样式代码编译为适用于 Windows（x86 和 x64）和 Linux（x86 和 x64）的小型、位置独立且无 NULL 的 shellcode 的程序	github	https://github.com/NytroRST/ShellcodeCompiler
shellen	交互式的 shellcoding 环境	github	https://github.com/merrychap/shellen
SigFlip	SigFlip 是一种用于修补 Authenticode 签名的 PE 文件（exe、dll、sys 等）的工具，而不会使现有签名无效或破坏。	github	https://github.com/med0x2e/SigFlip
microwaveo	将dll exe 等转成shellcode 最后输出exe 可定制加载器模板支持白文件的捆绑 shellcode 加密	github	https://github.com/Ciyfly/microwaveo
GoDhijacking	快速识别可劫持程序、逃避防病毒软件和 EDR（端点检测和响应）系统	github	https://github.com/m7rick/GoDhijacking
BinHol	三种方式在你的pe二进制中插入恶意代码	github	https://github.com/timwhitez/BinHol
吾爱破解专用版Ollydbg		52pojie
StudyPE+ x64	PE查看/分析	看雪	https://bbs.kanxue.com/thread-246459-1.htm
StudyPE+ x86	PE查看/分析	看雪	https://bbs.kanxue.com/thread-246459-1.htm