DuckMemoryScan：识别大多数声称的内存免杀恶意软件

简介：
DuckMemoryScan是一款专门设计用于检测和分析自称能够避开传统防御机制的内存型恶意软件的工具。它帮助安全研究人员深入理解这些威胁的工作原理，从而开发更有效的防护措施。 DuckMemoryScan是一款简单且有效的工具，用于寻找包括但不限于IIS劫持、无文件木马以及shellcode免杀后门。该工具由huoji在2021年2月24日用一天时间编写完成。 请注意：不要执行32位编译！此外，请注意本工具不能替代专业的杀毒软件使用！ 功能列表： - HWBP hook检测 - 检测线程中所有疑似被HWBP隐形链接的内存免杀shellcode（包括Metasploit和Cobaltstrike） - 可疑进程检测，主要针对具有逃避性质的行为如过期签名与多部分细分段等 - 无文件落地木马检测，涵盖已知的所有内存加载木马类型 - 简易rootkit检测，识别证书过期、拦截复制或无效的驱动程序 - 检测异常模块，并检查大部分类似“IIS劫持”的后门（此功能于2021年2月26日添加） 免杀木马检测原理：大多数所谓的内存免杀后门都基于“VirtualAlloc”函数。