AxHunter

أدلة إثبات المفهوم (PoCs) لعائلة برامج التشغيل xhunter التابعة لنظام مكافحة الغش Wellbia XIGNCODE3 — xhunter1.sys الإصدار v2023.12.7.78 (CVE-2026-3609) وxhunter2.sys الإصدار v2026.6.1.192 (CVE-2026-15430).

تخطيط مساحة العمل

مساحة عمل Cargo، تتكون من ثلاث حزم:

AxHunter/
├── Cargo.toml               workspace manifest
├── axhunter-lsa/            shared crate — driver-agnostic LSA extraction (MemReader trait,
│                              LDR walk, BCrypt 3DES key extraction, LogonSessionList,
│                              WDigest). Consumed by both PoCs.
├── axhunter_v1/             xhunter1.sys v2023.12.7.78  (CVE-2026-3609)
└── axhunter_v2/             xhunter2.sys v2026.6.1.192  (CVE-2026-15430)

تحتوي كل حزمة PoC على ملف برنامج التشغيل الهدف الخاص بها (xhunter1.sys، xhunter2.sys) و— في axhunter_v2/src/ — وحدة WBMF الخاصة بـ Wellbia (wbmf_module.dll) المستخرجة من عملية WindSlayer.exe حية.

البناء

من جذر مساحة العمل:

cargo build --release              # builds both binaries + shared crate
cargo build --release -p AxHunter_v1
cargo build --release -p AxHunter_v2

يستقر كلا الملفين التنفيذيين في target/release/:

target/release/AxHunter_v1.exe
target/release/AxHunter_v2.exe

واجهة سطر أوامر موحدة

يشترك كلا الملفين التنفيذيين في نفس الأعلام:

AxHunter_v1.exe -m {dump|kill|lpe|inject|all} [-t <pid|image>] [-d <device>] [-p <payload.bin>]
AxHunter_v2.exe -m {dump|kill|lpe|inject|all} [-t <pid|image>] [-d <device>] [-p <payload.bin>]

راجع README الخاص بكل حزمة للاطلاع على الإعدادات الافتراضية الخاصة ببرنامج التشغيل وتفاصيل الأوضاع.

كتابات مرافقة

• Hunting the Hunter — xhunter1.sys الإصدار v2023.12.7.78. يتوافق مع axhunter_v1/.
• Hunting the Hunter II — xhunter2.sys الإصدار v2026.6.1.192. يتوافق مع axhunter_v2/.

المقارنة

الخاصية	xhunter1.sys الإصدار v2023.12.7.78	xhunter2.sys الإصدار v2026.6.1.192
CVE	CVE-2026-3609	CVE-2026-15430
النقل	IRP_MJ_WRITE، إطار نصي صريح بحجم 624 بايت	IRP_MJ_WRITE، إطار مشفّر بـ LCG-XOR بحجم 1184 بايت
سحر الإطار	0x345821AB	0x70506202 (MAGIC ^ SEED_KEY)
مصادقة فتح الجهاز	لا يوجد	PE موقّع بـ WBMF RSA-2048 + Win32StartAddress داخل PE
مصادقة كل طلب	لا يوجد	كتلة WBCC + مُكرِّر سلسلة الشهادات
تصعيد بوابة PID	cmd 777 + cmd 775	cmd 777 + cmd 779 + cmd 775
cmd 785 (إنشاء مقبض PPL)	ObOpenObjectByPointer(KernelMode)	مطابق
cmd 787 (قراءة عبر العمليات)	نسخ بايتات عبر KeStackAttachProcess	مطابق
cmd 800 (قتل عبر استبدال المقبض)	KeStackAttachProcess + ObSetHandleAttributes(KernelMode) + ZwClose	مطابق
cmd 820 (حقن في النواة)	تخصيص RWX + نسخ + RtlCreateUserThread (كل ذلك في ring 0)	مطابق

مرجع شقيق

• CVE-2026-3609 — xhunter1.sys من الإصدار v10.0.10011.16384 حتى v2023.12.7.78 (الكتابة، دليل إثبات المفهوم القديم في CredsHunter).

الترخيص

MIT. راجع LICENSE.