KillChain/
??? KillChain.cpp        نقطة الدخول، تحليل وسائط سطر الأوامر، حلقة الإنهاء الرئيسية
??? LoadDriver.h         استخراج برنامج التشغيل، تسجيل الخدمة، منطق NtLoadDriver/NtUnloadDriver
??? Logger.h             تسجيل آمن للخيوط في وحدة التحكم/الملف مع مخرجات ملونة
??? driverBytes.h        برنامج التشغيل المضمّن (مصفوفة بايت خام)

ProcessMonitorDriver.sys  (مضمّن داخل الملف التنفيذي)
??? يعرض IOCTL_KILL_PROCESS (0xB822200C)  ينهي عملية مستهدفة بواسطة PID

1. تحليل وسائط سطر الأوامر
2. استخراج .sys المضمّن إلى %TEMP%\EmbeddedDriverService.sys
3. إنشاء مفتاح خدمة في السجل + التسجيل عبر SCM
4. تحميل برنامج التشغيل إلى النواة عبر NtLoadDriver (يتطلب SeLoadDriverPrivilege)
5. فتح مقبض الجهاز: \\.\STProcessMonitorDriver
6. حلقة (حتى 360 ثانية):
   أ. حل PID بالاسم في كل تكرار (إذا تم استخدام --name)
   ب. إرسال IOCTL_KILL_PROCESS مع PID المستهدف
   ج. بعد عمليتي إنهاء ناجحتين، تعطيل Windows Defender اختياريًا عبر السجل
7. إغلاق مقبض الجهاز؛ تشغيل --uninstall-driver اختياريًا للتنظيف

KillChain.exe [options]

Options:
  --pid <PID>            إنهاء عملية بواسطة PID
  --name <ProcessName>   إنهاء عملية باسم الملف التنفيذي
  --disable-defender     تعطيل Windows Defender أيضًا عبر السجل
  --log-level <0-3>      مستوى تفصيل التسجيل (0=أخطاء، 1=عادي، 2=مفصّل، 3=تصحيح)
  --output <file>        حفظ مخرجات السجل إلى ملف
  --uninstall-driver     إلغاء تحميل برنامج التشغيل، حذف الخدمة وملف برنامج التشغيل
  --help                 عرض هذه المساعدة

REM إنهاء عملية محمية بالاسم
KillChain.exe --name MsMpEng.exe

REM إنهاء بواسطة PID مع تسجيل مفصّل مكتوب إلى ملف
KillChain.exe --pid 1234 --log-level 2 --output log.txt

REM إنهاء عملية وتعطيل Windows Defender بعد ذلك
KillChain.exe --name notepad.exe --disable-defender

REM تنظيف برنامج التشغيل بعد الاختبار
KillChain.exe --uninstall-driver