PhantomCtx
Инструмент, автоматизирующий перехват контекста активации (https://learn.microsoft.com/en-us/windows/win32/sbscs/activation-contexts) с целью загрузки произвольной DLL в подавляющее большинство подписанных исполняемых файлов (например, Microsoft, Adobe, Mozilla).
Этот загрузчик представляет собой современную альтернативу традиционным методам перехвата DLL и бокового загрузки (https://attack.mitre.org/techniques/T1574/001/): в отличие от обычных подходов, он не требует наличия уязвимого бинарного файла. Эта техника может быть реализована при условии, что целевой исполняемый файл обращается к DLL через свою таблицу адресов импорта (IAT) или, в худшем случае, через функцию LoadLibrary без указания абсолютного пути.
Чтобы подробнее узнать о том, как это работает изнутри и как обходит агрессивные EDR-решения, ознакомьтесь с публикацией в моём техническом блоге (https://rexmax.dev/posts/phantomctx-new-approach-to-activation-context-hijacking-for-edr-evasion/).
