voidsyscall

English | 简体中文 | 조선어 | Русский

لا WinAPI إطلاقًا. كل بدائية NT تُحلّ في وقت التشغيل من ntdll في الذاكرة — تعليمات SYSCALL تُصدر مباشرة عبر stubs بلغة تجميع Plan9، بلا جدول استيراد، وبلا لمس أي hooks في وضع المستخدم على ntdll. C2 عبر HTTPS / DNS / ICMP، وتشفير AES-256-GCM لكل رسالة. أصلي على Windows. يُبنى على Linux. يُبنى على macOS.

هذه ليست مكتبة غلاف لاستدعاءات النظام. إنها إطار عمل implant كامل حيث كل عملية — من حقن الشيفرة إلى قراءة الملفات إلى الاستمرارية في الريجستري — تمر عبر استدعاءات Nt* الخام التي تُحلّ عند الإقلاع من جدول تصدير ntdll الحالي. لا توجد أي استدعاءات WinAPI في الملف التنفيذي. لا شيء يمكن لـ EDR أن يضعه كـ hook في وضع المستخدم.

---

ما بالداخل

محرك استدعاءات النظام

• حل SSN في وقت التشغيل: PEB → LDR → قاعدة ntdll → جدول تصدير PE → مطابقة تجزئة djb2 → فحص المقدمة بحثًا عن B8 xx xx 00 00 0F 05 (مباشر) أو 4C 8B D1 B8 xx xx 00 00 0F 05 (Hells Gate). كل اسم دالة يُجزّأ في وقت الترجمة — لا سلاسل نصية صريحة في الملف التنفيذي.
• استدعاء نظام مباشر: تجميع Plan9 (asm_amd64.s) يحمّل SSN في EAX، ويضبط 7 وسائط يدويًا، وينفّذ SYSCALL. العودة عبر RAX/RDX.
• استدعاء نظام غير مباشر: يحدد gadget من نوع 0F 05 C3 (syscall;ret) داخل ntdll، ويستدعي عبره. يقع فخ المعالج داخل ntdll — مكدس الاستدعاء يُظهر إطارات ntdll، لا إطارات الـ implant. لا ينجو أي hook في وضع المستخدم.
• بصمة SSN: يستخرج كل SSNs المحلولة من بناء ntdll الحالي، ويولّد تجزئة بصمة. تصدير كـ hex، واستيراد على جهاز آخر. يكشف عدم تطابق البناء قبل أن يوقعك في مشكلة.
• إزالة الـ hooks: يقفل .text كـ RWX، وينسخ البايتات الأصلية من ntdll المعيّن من القرص، ويستعيد الحماية، ويُفرّغ icache، ويُبطل ذاكرة SSN المؤقتة. كل hook في وضع المستخدم وضعه أي EDR يزول.

الحقن — 4 طرق، تدوير متعدد الأشكال

يدوّر الوكيل بين تقنيات الحقن تلقائيًا. كل استدعاء يستخدم طريقة مختلفة — لا يبدو أي حقنين متطابقين في التحليل الجنائي.

الطريقة	كيف تعمل	لماذا هي خفية
تعيين القسم	NtCreateSection → NtMapViewOfSection (عن بُعد) → NtCreateThreadEx	لا تخصيص RWX في VAD. القسم مدعوم بملف. ترى ماسحات الذاكرة PAGE_EXECUTE_READ، لا PAGE_EXECUTE_READWRITE.
تفريغ العملية	NtCreateUserProcess (معلّقة) → NtSuspendProcess → تصفير قاعدة الصورة → تخصيص + كتابة shellcode → NtSetContextThread (RIP = shellcode) → NtResumeProcess	تظهر العملية كـ svchost.exe شرعي في taskmgr. تختلف محتويات الذاكرة فقط.
صف APC	تعداد الخيوط عبر NtQuerySystemInformation → NtOpenThread → NtQueueApcThread	لا يُنشأ خيط جديد. لا TEB جديد. لا تخصيص مكدس جديد. يُطلق عندما يدخل الخيط في انتظار قابل للتنبيه.
دوس الوحدات	تخصيص في الهدف → كتابة رأس PE أدنى + shellcode → NtCreateThreadEx عند نقطة الدخول	تُظهر قائمة الوحدات اسم DLL معقولًا. رأس PE صالح بما يكفي لخداع تعداد الوحدات.

مكافحة التحليل — أكثر من 13 طريقة كشف

يشغّل كل الفحوصات، ويعيد تقرير تهديد مُقيّمًا. تدمير ذاتي عند الحالة الحرجة.

الفحص	الطريقة
كشف الآلة الافتراضية	مسح توقيع الهايبرفايزر عبر CPUID leaf 0x40000000 (VMware، VirtualBox، Hyper-V، KVM، Xen، QEMU، Parallels) + احتياطي عبر leaf 0x40000001
كشف بيئة الاختبار المعزولة	عدد وحدات المعالجة المركزية، آثار السجل (VMware Tools، VBox Guest Additions، خدمات VMware/VBox)، مسح عمليات بيئة الاختبار المعزولة (أكثر من 30 اسمًا معروفًا: wireshark، procmon، x64dbg، ida، إلخ)
كشف المنقّح	PEB.BeingDebugged، PEB.NtGlobalFlag، أعلام تصحيح الكومة، ProcessDebugPort، ProcessDebugObjectHandle، ProcessDebugFlags، نقاط التوقف العتادية DR0-7، فحص التوقيت أحادي الخطوة
شذوذ التوقيت	قائم على RDTSC: 50 عينة من زمن استجابة NtQuerySystemInformation، المتوسط/الانحراف المعياري، يُرفع العلم إذا تجاوز أكثر من 10% من العينات تباين 3σ. يلتقط الحمل الزائد لأدوات الفحص.
تهرّب PEB	يُرقّع أعلام BeingDebugged، NtGlobalFlag، ProcessHeap، DebugPort، ThreadHideFromDebugger — كلها عبر قراءات مقطع GS + NtWriteVirtualMemory. دون أي استدعاءات API.

عمليات الرموز المميزة (Token)

كلها عبر استدعاءات نظام Nt*، دون WinAPI.

• EnablePrivilege(index) — تعيين أي امتياز عبر LUID
• EnableAllTokenPrivileges() — 20 امتيازًا دفعة واحدة (Debug، Impersonate، TCB، Backup، Restore، إلخ)
• GetProcessTokenIntegrityLevel() — استعلام مستوى السلامة الإلزامي
• StealProcessToken(pid) — فتح + استنساخ رمز مميز لعملية أخرى
• ImpersonateThread() / RevertToSelf()

عمليات VAD

• EnumVirtualMemory() — التنقل عبر جميع المناطق الافتراضية عبر NtQueryVirtualMemory
• FindWritableExecRegions() — إيجاد مناطق PAGE_EXECUTE_READWRITE الملتزمة
• HideRegion() — تعيين PAGE_NOACCESS لإخفاء الذاكرة عن أدوات الفحص
• UnhideRegion() — استعادة الحماية الأصلية

إدخال/إخراج الملفات — كلها استدعاءات نظام Nt*

NtCreateFile → NtReadFile / NtWriteFile → NtClose. صفر استدعاءات لـ CreateFileA، ReadFile، WriteFile، أو DeleteFileW. ReadFileContents()، WriteFileContents()، DeleteFileNt()، FileExists().

استمرارية السجل — كلها استدعاءات نظام Nt*

NtCreateKey → NtSetValueKey. AddRunKeyPersistence()، RemoveRunKeyPersistence(). دون RegCreateKeyEx، RegSetValueEx، أو أي استدعاءات Advapi32.

عمليات المقابض (Handles)

• EnumerateSystemHandles() — جميع المقابض المفتوحة في النظام عبر NtQuerySystemInformation(SystemHandleInformation)
• FindEDRHandles() — يطابق معرّفات العمليات المالكة مع أكثر من 30 اسمًا معروفًا لعمليات EDR (MsSense، CrowdStrike، Sentinel، Cylance، Carbon Black، إلخ)
• CloseEDRHandles() — يُغلق مقابض المراقبة التي وضعتها EDR في عمليتك
• IsProcessMonitored() — فحص منطقي: هل نحن تحت المراقبة؟

تشفير الذاكرة

• Vault: تشفير XOR في الذاكرة مع إعادة توليد المفتاح تلقائيًا وفق مؤقت. لا يُخزَّن النص الصريح خامًا أبدًا. إعادة توليد المفتاح تفك التشفير → تولّد مفتاحًا جديدًا → تعيد التشفير. تفريغات الكومة الجنائية بين فترات إعادة توليد المفتاح تحصل على بيانات تالفة.
• SecureDelete: محو بثلاث تمريرات (عشوائي → أصفار → آحاد → أصفار) قبل NtFreeVirtualMemory.
• StackEncrypt: تشفير المخازن المؤقتة المخصصة على المكدس قبل الإرجاع. إعادة استخدام إطار المكدس يجعل التحليل الجنائي غير موثوق.

رقع AMSI / ETW / التهرب

• PatchAMSI() — AmsiScanBuffer → MOV EAX, 0; RET
• PatchETW() — EtwEventWrite → RET
• PatchNtTraceEvent() — NtTraceEvent → RET
• PatchDbgUiRemoteBreakin() — اقتحام الخيط → RET
• PatchInstrumentationCallbacks() — ThreadHideFromDebugger

قنوات C2

القناة	صيغة النقل	المتطلبات المسبقة
HTTPS	POST ثنائي، تأطير مخصص، UA/مسار عشوائي	شهادة TLS
DNS	نطاق فرعي <idx>-<total>-<base32>، استجابة TXT	تحليل DNS
ICMPv4	الحمولة في معرّف+تسلسل طلب/رد echo	مقبس خام (root/Admin)

جميع القنوات تُنفّذ واجهة Channel. إضافة NTP أو DoH أو TURN تعني تنفيذ الواجهة — دون أي تغييرات في الوكيل.

التشفير

AES-256-GCM بتشفير AEAD لكل رسالة. nonce فريد من 12 بايت لكل رسالة. حلقة مفاتيح لكل زرعة (implant). اشتقاق المفتاح القائم على عبارة المرور متاح. 3 اختبارات، جميعها ناجحة.

---

التخطيط