Hidden 🇺🇦

Hidden wurde als Lösung für Reverse-Engineering- und Forschungsaufgaben entwickelt. Es handelt sich um einen Windows-Treiber mit einer Benutzermodus-Schnittstelle, der dazu dient, bestimmte Umgebungen auf Ihrem Windows-Rechner zu verstecken, wie z. B. installierte RCE-Programme (z. B. Procmon, Wireshark), VM-Infrastruktur (z. B. VMware Tools) usw.

Funktionen

• Verstecken von Registrierungsschlüsseln und -werten
• Verstecken von Dateien und Verzeichnissen
• Verstecken von Prozessen (experimentell, möglicherweise nicht stabil)
• Schützen bestimmter Prozesse
• Ausschließen bestimmter Prozesse von Versteck- und Schutzfunktionen
• Benutzermodus-Schnittstelle (Bibliothek und CLI) für die Arbeit mit einem Treiber

und so weiter

Systemanforderungen

Windows Vista und höher, x86 und x64

Empfohlene Build-Umgebung

• Visual Studio 2019
• Windows Driver Kit 10

Erstellen

Die folgende Anleitung erklärt, wie Sie einen Release-Win32-Build erstellen.

1. Öffnen Sie Hidden.sln mit Visual Studio
2. Erstellen Sie das Hidden Package-Projekt mit den Konfigurationen Release, Win32
3. Öffnen Sie den Build-Ergebnisordner <ProjectDir>\Release

Installation

1. Deaktivieren Sie die Durchsetzung der digitalen Signatur auf einem Testcomputer (bcdedit /set TESTSIGNING ON) und starten Sie ihn neu.
2. Kopieren Sie Dateien aus <ProjectDir>\Release\Hidden Package auf einen Testcomputer
3. Klicken Sie mit der rechten Maustaste auf Hidden.inf und wählen Sie Installieren
4. Starten Sie einen Treiber (sc start hidden)
5. Stellen Sie sicher, dass der Dienst läuft (sc query hidden)

Wichtig: Beachten Sie, dass die Treiber-Bitness mit der OS-Bitness übereinstimmen muss.

Verstecken

Ein Befehlszeilentool hiddencli wird für die Verwaltung eines Treibers verwendet. Sie können es zum Verstecken und Einblenden von Objekten, zum Ändern des Treiberzustands usw. nutzen.

Um eine Datei zu verstecken, versuchen Sie den Befehl

hiddencli /hide file c:\Windows\System32\calc.exe

Möchten Sie ein Verzeichnis verstecken? Kein Problem

hiddencli /hide dir "c:\Program Files\VMWare"

Registrierungsschlüssel?

hiddencli /hide regkey "HKCU\Software\VMware, Inc."

Vielleicht einen Prozess?

hiddencli /hide pid 2340

Nach einem Prozess-Image-Namen?

hiddencli /hide image apply:forall c:\Windows\Explorer.EXE

Um die vollständige Hilfe zu erhalten, geben Sie einfach ein

hiddencli /help