Havox

security researcher

[Havox @Havox03]

This was my First bug that I found on @Google Before a month while, at finally Successfully reported the Bug on @Google and feeling great about contributing to google security, anywhere finally my big dream came true!

Happy to secure Google

#BugBounty #Google #Bugs #BugHunter

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

間接syscallからファイルレス配信まで、EDR回避の主要手法を一通り実装したWindowsローダー「DynLoader」がソースコード付きでGitHubに公開されています。中核はntdllからシステムコール番号（SSN）を動的に解決する間接syscallの枠組み「Tartarus-Gate」で、EDRが監視用に書き換えるAPIの入り口（スタブ）を通らず直接システムコールを発行します。SSN解決にはHell's-Gate→Halo's-Gate→HellHellの多段パスがあり、フック済みのスタブに遭遇しても隣接する未フックのスタブから復元を試みます。セキュリティ防御側がフック回避の検知手法を考える際に、ソースコードから実装の詳細を直接読めるツールです。

【要点の整理】

・GitHubで公開されたC++製のWindowsローダー。コア機能をDynveilという汎用ライブラリ（別リポジトリで公開）に分離したモジュール構造。

・PEB（プロセス環境ブロック）を直接参照してロード済みモジュールを列挙し、エクスポートテーブルを手動で解決してGetProcAddressの使用を排除。djb2ハッシュによるAPI解決で、解決対象のエクスポート名がバイナリ内に平文で残らない設計。Nt系はsyscall経由、CreateThread等のWin32系はハッシュ解決で呼ぶことでIAT（インポートテーブル）も最小化し、静的解析で目立ちにくい構成。

・メモリ確保はまずRW権限で書き込み、その後RXへ切り替える二段階の権限遷移。RWXの同時付与はシェルコードの典型的なパターンとしてEDRに検知されやすいため、W^X（Write XOR Execute）に沿った権限遷移で回避する狙い。NtCreateSection+NtMapViewOfSectionによるセクションマッピングも代替のステージング手段としての実装。

・ペイロード取得はローカルのバイナリファイルのほか、HTTP経由のファイルレス配信に対応。AES-256-CBC暗号化が可能で、暗号鍵もHTTPで別途取得するランタイム復号方式。

・リモートインジェクションではプロセス名またはPIDで対象を指定可能。プロセス列挙のNtQuerySystemInformation呼び出しもTartarus-Gate経由。対象が未起動の場合は一時停止状態かつウィンドウ非表示でヘッドレス起動した上で注入する手順。同じ整合性レベル（Integrity Level）の対象であれば、他プロセス操作に通常必要なSeDebugPrivilegeは不要との記載。

研究・教育目的で公開されたもので、各回避手法が個別のモジュールに分離されたソースコードです。

詳細は以下を参照：
https://t.co/B0KokVWY9h

(※可能な範囲でファクトチェックは実施済なものの、元記事の精度依存や速報・要約の性質上漏れもありうるため、正確な情報は一次情報を直接参照のこと)

[Havox @Havox03]

DynLoader

A modular Windows loader focused on EDR evasion Built with indirect syscall (Tartarus Gate / Hell’s Gate), Manual PE parsing & Section mapping, API hashing & Dynamic resolution, fileless HTTP delivery (AES encrypted option), & more :)

https://t.co/N0wpp3yRMA

[Havox @Havox03]

Detecting manual Syscalls from user-mode

Resource : https://t.co/n01BNa6ekC

[Havox @Havox03]

@5mukx Looking awesome bruh

[Havox @Havox03]

@tetsuoai Can I get this whole playlist anyone please ?

[Havox @Havox03]

@KumaravelHarish This would help give some idea for deobfuscation.

[Havox @Havox03]

What would you check first if a malware sample shows no readable strings? 👀

Packed binary?
Encrypted config?
Custom loader?
Or something much simpler?

A lot of analysts jump deep too early. Sometimes it’s just XOR obfuscation hiding in plain sight.

I wrote a quick workflow on how to detect it: https://t.co/gF2U8KADQQ

[Havox @Havox03]

@lock7u

[Havox @Havox03]

This is how malware hides strings/shellcode from static analysis & evades AV

Detailed PoC series on XOR obfuscation (single-byte, rolling, repeating key variant)

The Art of Malware Obfuscation https://t.co/RtRYavVOEi

#ReverseEngineering #CyberSecurity #XORObfuscation #infosec

[Havox @Havox03]

Bypassing EDR with command-line Obfuscation, by (@Wietze)

source: https://t.co/MUJ4tn5hzp

[Havox @Havox03]

@OBSENTRY Thx mate

[Havox @Havox03]

Malware analysis detecting "Windows Memory Forensics: Detecting (Un)Intentionally Hidden Injected Code by Examining Page Table Entries"

Reference blog
https://t.co/K1itdl8WMW

[Havox @Havox03]

CrowdStrike uncovered an insider who passed internal screenshots to hackers. The shared system details were later posted on Telegram by “Scattered Lapsus$ Hunters.”
Insider threats continue to be a major security threat buz authorized users can bypass even the strongest defenses.

[tetsuo @tetsuoai]

Understanding the Windows PE Header and Section Table.

Link to Reverse Engineering for Noobs in comments.
- Source for Video Images: @0x6D6172636F

[Havox @Havox03]

Windows credential dumping is an important topic in cybersecurity, but to really understand it, we need to first look at how Windows authentication works. In my blog i covered most over about how auth takes place......

Checkout the blog
https://t.co/VlVdFamfBS

[Smukx.E @5mukx]

My fav platform #ANYRUN just made TI Lookup free for everyone. It provides live attack data that helps SOC teams cut response time, improve decision-making, and lower business risk.

https://t.co/SVtAShe9Vd

i get real malware samples, behavioral context, and TTPs - all in one clean, searchable view. =)

[Havox @Havox03]

Excited to share that, I’m now officially a contributor to the PowerShell project on GitHub!

For more information check out the PR: https://t.co/NkigZUqN5P

[Havox @Havox03]

@MalDevAcademy @HackSpaceCon @k3nundrum Already coded a backdoor into this giveaway...😂 now just waiting for my C2 server to call me a winner :)

[Havox @Havox03]

@5mukx How gone bro.... Really interesting 🤔.

[Havox @Havox03]

I Planned to release my notes on EDR research soon,
also, gonna drop some stuff on how to develop an EDR from scratch!