Chaos-Rootkit

• Chaos-Rootkit هي روتكيت في الحلقة 0 من بنية x64، كتبتها لفهم أعمق لداخلية النواة وتقنيات الروتكت.

• نسخة الواجهة الرسومية

الميزات

• إخفاء العملية: تتيح لك هذه الميزة إخفاء العمليات من أدوات العرض عبر DKOM.

• رفع امتيازات عملية معينة: تتيح لك هذه الميزة رفع امتيازات عمليات محددة.

• استبدال السائق على القرص وفي الذاكرة بسائق من Microsoft: يعود الفضل كله في هذا التنفيذ إلى IDontCode وBack Engineering لعمله الاستثنائي، كما تعاملت مع إجراءات الإلغاء والإيقاف لهذه الميزة حتى لا يتعرض سائق الروتكت للتلف أو الانهيار في وقت لاحق.

• تقييد وصول الملفات لتطبيقات وضع المستخدم باستثناء معرف العملية المحدد.

• إنشاء عملية بصلاحيات مرتفعة: تشغيل موجه الأوامر بصلاحيات مرتفعة.

• تجاوز فحص تكامل الملف وحمايته من برامج مكافحة البرمجيات الخبيثة: يعمل هذا عن طريق إعادة توجيه عمليات الملف إلى ملف شرعي، مما يجعل ملفنا يبدو أصليًا وموقّعًا بشهادة صالحة. أيضًا إذا حاول أحد برامج مكافحة البرمجيات الخبيثة فحصه، فستقوم الروتكت بإنهاء عملية برنامج المكافحة فورًا.

• إلغاء حماية جميع العمليات.

• حماية عملية معينة بأي مستوى حماية محدد (WinSystem, WinTcb, Windows, Authenticode, Lsa, Antimalware).

• حماية ملف معين من برامج مكافحة البرمجيات الخبيثة؛ فعندما يحاول أحدها فحصه، ستقوم الروتكت بإيقافه، ويتم ذلك عن طريق فحص عضو الحماية EPROCESS الخاص بالمستدعي.

المساهمة

• المساهمات مرحب بها، ولكن عند المساهمة، يرجى الانتباه إلى تفاصيل التنفيذ في تصميم الروتكت. على سبيل المثال، انظر إلى هذا الكود. تجاهل هذا المنطق سيكسر السائق. المساهمة الأخيرة لم تتبع هذا التصميم، واضطررت إلى دفع عدة تحديثات لإصلاحها :(

شرح

• https://www.hackandhide.com/chaos-rootkit-internals-explained/

الاعتمادات

• Yassine Jerroudi: ساعد بشكل كبير في النسخة المبكرة من واجهة المستخدم الرسومية لعميل الروتكت، لأنني كنت مبتدئًا تمامًا في IMGUI. يستحق كل الفضل.

• IDontCode BackEngineerLab: كل الفضل في تنفيذ استبدال السائق على القرص وفي الذاكرة.

• sixtyvividtails: له الشكر على التوصية بفحص ObjectAttributes->ObjectName->Buffer على المستويات الثلاثة جميعها، لأننا نعترض NtCreateFile ونستقبل مؤشرات يتحكم بها المستخدم.

• Pavel Yosifovich: مؤلف كتاب Windows Kernel Programming، ويظل هذا الكتاب المورد الأكثر قيمة الذي أعتمد عليه. دون فهم متين لداخلية النواة، لا يمكنك فقط برمجة السائقين بشكل عشوائي (vibe-code). المعرفة الحقيقية هي الشيء الوحيد الذي يبقيك بعيدًا عن الفشل التام ..

• إلى المساهمين: شكر خاص إلى UncleJ4ck، أول مساهم، لتنفيذه معالجة الأخطاء، وإلى staarblitz لإضافته إزاحات Windows 11 24H2 وحماية الواجهة الرسومية.