Terminator

• إعادة إنتاج تقنية Spyboy، والتي تتضمن إنهاء جميع عمليات EDR/XDR/AVs عن طريق إساءة استخدام برنامج التشغيل zam64.sys
• كان Spyboy يبيع برنامج Terminator بسعر 3000 دولار لمزيد من التفاصيل
• العينة مأخوذة من loldrivers

الاستخدام

• يمكن العثور على النسخة المُجمَّعة هنا

• ضع برنامج التشغيل Terminator.sys في نفس مسار الملف التنفيذي

• قم بتشغيل البرنامج كمسؤول

• أبقِ البرنامج قيد التشغيل لمنع الخدمة من إعادة تشغيل برامج مكافحة البرامج الضارة

  

التفاصيل التقنية

• يحتوي برنامج التشغيل على آلية حماية تسمح فقط لمعرّفات العمليات الموثوقة بإرسال IOCTLs. بدون إضافة معرّف العملية الخاص بك إلى القائمة الموثوقة، ستتلقى رسالة 'Access Denied' في كل مرة. ومع ذلك، يمكن تجاوز ذلك بسهولة عن طريق إرسال IOCTL مع معرّف العملية الخاص بنا لإضافته إلى القائمة الموثوقة، مما سيسمح لنا بعد ذلك بالتحكم في العديد من IOCTLs الحرجة