一个为红队演练和安全研究设计的下一代荷载加载器（Payload Loader）生成器，具有免杀能力。
💡
原文中文，约1800字，阅读约需5分钟。
📝
内容提要
GoPhantom是为红队演练设计的荷载加载器生成器，使用Go语言将Shellcode和诱饵文件打包成免杀的Windows可执行文件。其核心功能包括多层加密、动态API解析、反沙箱检测，支持PDF等诱饵文件格式，具备自毁机制和跨平台兼容性。
🎯
关键要点
- GoPhantom是为红队演练和安全研究设计的荷载加载器生成器。
- 使用Go语言将Shellcode和诱饵文件打包成免杀的Windows可执行文件。
- 核心功能包括多层加密、动态API解析、反沙箱检测等。
- 多层加密采用XOR、zlib压缩和AES-256-GCM三重保护。
- 动态密钥派生使用Argon2id从随机Salt派生AES-256密钥。
- 支持PDF、图片、文档等格式的诱饵文件，提高社工攻击成功率。
- 具备自毁机制，执行后自动清理痕迹。
- 支持Go 1.19或更高版本，能够交叉编译到Windows平台。
- 提供简单模式和可复现模式两种使用模式。
- 生成的加载器在目标Windows机器上可自动打开诱饵文件并静默执行shellcode荷载。
- 免责声明指出技术信息仅供参考，使用需遵守相关法律法规。
❓
延伸问答
GoPhantom的主要功能是什么？
GoPhantom的主要功能包括多层加密、动态API解析、反沙箱检测和支持多种诱饵文件格式。
GoPhantom如何实现免杀能力？
GoPhantom通过内存权限分离、反沙箱检测、动态API解析和行为伪装等技术实现免杀能力。
使用GoPhantom需要哪些环境要求？
使用GoPhantom需要Go 1.19或更高版本，并支持交叉编译到Windows平台。
GoPhantom支持哪些诱饵文件格式？
GoPhantom支持PDF、图片、文档等格式的诱饵文件。
GoPhantom的自毁机制是如何工作的？
GoPhantom具备自毁机制，执行后会自动清理痕迹以避免被检测。
如何使用GoPhantom生成加载器？
可以通过命令行运行GoPhantom，指定诱饵文件和Shellcode文件生成加载器。
➡️
