AxHunter

PoCs für die xhunter-Treiberfamilie der Wellbia XIGNCODE3 Anti-Cheat — xhunter1.sys v2023.12.7.78 (CVE-2026-3609) und xhunter2.sys v2026.6.1.192 (CVE-2026-15430).

Workspace-Struktur

Cargo-Workspace mit drei Crates:

AxHunter/
├── Cargo.toml               workspace manifest
├── axhunter-lsa/            shared crate — driver-agnostic LSA extraction (MemReader trait,
│                              LDR walk, BCrypt 3DES key extraction, LogonSessionList,
│                              WDigest). Consumed by both PoCs.
├── axhunter_v1/             xhunter1.sys v2023.12.7.78  (CVE-2026-3609)
└── axhunter_v2/             xhunter2.sys v2026.6.1.192  (CVE-2026-15430)

Jedes PoC-Crate enthält seine eigene Ziel-Treiberbinärdatei (xhunter1.sys, xhunter2.sys) und — in axhunter_v2/src/ — Wellbias WBMF-Modul (wbmf_module.dll), extrahiert aus einem laufenden WindSlayer.exe-Prozess.

Build

Vom Workspace-Stammverzeichnis aus:

cargo build --release              # builds both binaries + shared crate
cargo build --release -p AxHunter_v1
cargo build --release -p AxHunter_v2

Beide Binärdateien landen in target/release/:

target/release/AxHunter_v1.exe
target/release/AxHunter_v2.exe

Einheitliche CLI

Beide Binärdateien verwenden dieselben Flags:

AxHunter_v1.exe -m {dump|kill|lpe|inject|all} [-t <pid|image>] [-d <device>] [-p <payload.bin>]
AxHunter_v2.exe -m {dump|kill|lpe|inject|all} [-t <pid|image>] [-d <device>] [-p <payload.bin>]

Treiber-spezifische Standardwerte und Modusdetails sind in der README jedes Crates zu finden.

Begleitende Write-ups

• Hunting the Hunter — xhunter1.sys v2023.12.7.78. Entspricht axhunter_v1/.
• Hunting the Hunter II — xhunter2.sys v2026.6.1.192. Entspricht axhunter_v2/.

Vergleich

Eigenschaft	xhunter1.sys v2023.12.7.78	xhunter2.sys v2026.6.1.192
CVE	CVE-2026-3609	CVE-2026-15430
Transport	IRP_MJ_WRITE, 624-Byte-Klartext-Frame	IRP_MJ_WRITE, 1184-Byte-LCG-XOR-verschlüsselter Frame
Frame-Magic	0x345821AB	0x70506202 (MAGIC ^ SEED_KEY)
Geräteöffnungs-Authentifizierung	Keine	WBMF RSA-2048-signiertes PE + Win32StartAddress im PE
Authentifizierung pro Anfrage	Keine	WBCC-Blob + Zertifikatsketten-Iterator
PID-Gate-Eskalation	cmd 777 + cmd 775	cmd 777 + cmd 779 + cmd 775
cmd 785 (PPL-Handle-Erzeugung)	ObOpenObjectByPointer(KernelMode)	identisch
cmd 787 (prozessübergreifendes Lesen)	KeStackAttachProcess-Byte-Kopie	identisch
cmd 800 (Handle-Stomp-Kill)	KeStackAttachProcess + ObSetHandleAttributes(KernelMode) + ZwClose	identisch
cmd 820 (Kernel-Injection)	RWX-Allokation + Kopie + RtlCreateUserThread (alles Ring 0)	identisch

Verwandte Referenz

• CVE-2026-3609 — xhunter1.sys v10.0.10011.16384 bis v2023.12.7.78 (Write-up, Legacy-PoC unter CredsHunter).

Lizenz

MIT. Siehe LICENSE.