**لا تأتِ إلى هنا وتفتح تذاكر حول مشاكل التثبيت، أو الأعطال مع فحص الأخطاء 0x109: CRITICAL_STRUCTURE_CORRUPTION، أو أسئلة حول كيفية تعطيل PatchGuard. سأحظرك نهائيًا من متتبع التذاكر. إذا كنت لا تعرف كيفية تثبيت الأداة بشكل صحيح، فأنت لا تعرف ما يكفي لاستخدامها بمسؤولية، وعليك استخدام شيء آخر مثل ScyllaHide.

نظرة عامة

TitanHide هو برنامج تشغيل (driver) يهدف إلى إخفاء أدوات تصحيح الأخطاء (debuggers) عن عمليات معينة. يقوم برنامج التشغيل باعتراض (hooks) دوال النواة المختلفة Nt* (باستخدام خطافات جدول SSDT) وتعديل القيم المُرجعة للدوال الأصلية. لإخفاء عملية، يجب تمرير بنية بسيطة تحتوي على ProcessID وخيار (خيارات) الإخفاء المراد تفعيلها إلى برنامج التشغيل. تم تصميم واجهة البرمجة الداخلية لإضافة الخطافات بجهد قليل، مما يعني أن إضافة الميزات سهلة للغاية.

فكرة هذا المشروع تم التفكير فيها بالتعاون مع cypher، تحية له يا رجل!

الميزات

• ProcessDebugFlags (NtQueryInformationProcess)
• ProcessDebugPort (NtQueryInformationProcess)
• ProcessDebugObjectHandle (NtQueryInformationProcess)
• DebugObject (NtQueryObject)
• SystemKernelDebuggerInformation (NtQuerySystemInformation)
• SystemDebugControl (NtSystemDebugControl)
• NtClose (STATUS_INVALID_HANDLE/STATUS_HANDLE_NOT_CLOSABLE exceptions)
• ThreadHideFromDebugger (NtSetInformationThread)
• Protect DRx (HW BPs) (NtGetContextThread/NtSetContextThread)

بيئات الاختبار

• Windows 10 x64 & x86
• Windows 8.1 x64 & x86
• Windows 7 x64 & x86 (SP1)
• Windows XP x86 (SP3)
• Windows XP x64 (SP1)

التجميع

1. قم بتثبيت Visual Studio 2022.
2. قم بتثبيت WDK10/WDK8/WDK7.
3. افتح TitanHide.sln واضغط على compile!

المتطلبات

يجب عليك تعطيل PatchGuard وفرض توقيع برامج التشغيل (DSE) قبل استخدام برنامج التشغيل هذا.

لتعطيل PatchGuard يمكنك تجربة أحد المشاريع التالية:

• EfiGuard
• SandboxBootkit
• Shark
• UPGDSED (archived in 2019)

لتحميل برنامج التشغيل يمكنك تفعيل test signing:

bcdedit /set testsigning on

التثبيت

1. انسخ TitanHide.sys إلى %systemroot%\system32\drivers.
2. نفّذ الأمر sc create TitanHide binPath= %systemroot%\system32\drivers\TitanHide.sys type= kernel لإنشاء خدمة TitanHide.
3. نفّذ الأمر sc start TitanHide لبدء خدمة TitanHide.
4. نفّذ الأمر sc query TitanHide للتحقق مما إذا كان TitanHide قيد التشغيل.

للتحقق مما إذا كان TitanHide يعمل بشكل صحيح، استخدم DebugView أو تحقق من C:\TitanHide.log.

الإخفاء

بالنسبة لـ VMProtect 3.9.4 وما فوق، تحتاج إلى تغيير اسم الخدمة إلى شيء آخر. على سبيل المثال sc create NotTitanHide، والذي سيتجاوز "الكشف" الأحدث الخاص بهم. بعد تغيير اسم الخدمة، ستحتاج إلى تكوين الإضافة (plugin) بالأمر التالي في x64dbg:

TitanHideName NotTitanHide

ملاحظات

• عند استخدام x64dbg، يمكنك استخدام إضافة TitanHide (متوفرة في صفحة التنزيل).
• لا تقم أبدًا بتشغيل برنامج التشغيل هذا على نظام إنتاجي، استخدم دائمًا جهازًا افتراضيًا (VM)!