**Komm nicht hierher und eröffne Issues über Probleme bei der Installation, Abstürze mit Bug Check 0x109: CRITICAL_STRUCTURE_CORRUPTION oder Fragen dazu, wie man PatchGuard deaktiviert. Ich werde dich dauerhaft vom Issue-Tracker verbannen. Wenn du nicht weißt, wie man das Tool ordnungsgemäß installiert, weißt du nicht genug, um es verantwortungsvoll zu nutzen, und solltest etwas anderes wie ScyllaHide verwenden.

Übersicht

TitanHide ist ein Treiber, der dazu gedacht ist, Debugger vor bestimmten Prozessen zu verbergen. Der Treiber hookt verschiedene Nt*-Kernel-Funktionen (unter Verwendung von SSDT-Tabellen-Hooks) und modifiziert die Rückgabewerte der Originalfunktionen. Um einen Prozess zu verbergen, musst du eine einfache Struktur mit einer ProcessID und den zu aktivierenden Verbergungsoption(en) an den Treiber übergeben. Die interne API ist darauf ausgelegt, Hooks mit geringem Aufwand hinzuzufügen, was bedeutet, dass das Hinzufügen von Funktionen wirklich einfach ist.

Die Idee für dieses Projekt wurde zusammen mit cypher entwickelt, shoutout man!

Funktionen

• ProcessDebugFlags (NtQueryInformationProcess)
• ProcessDebugPort (NtQueryInformationProcess)
• ProcessDebugObjectHandle (NtQueryInformationProcess)
• DebugObject (NtQueryObject)
• SystemKernelDebuggerInformation (NtQuerySystemInformation)
• SystemDebugControl (NtSystemDebugControl)
• NtClose (STATUS_INVALID_HANDLE/STATUS_HANDLE_NOT_CLOSABLE-Ausnahmen)
• ThreadHideFromDebugger (NtSetInformationThread)
• Protect DRx (HW BPs) (NtGetContextThread/NtSetContextThread)

Testumgebungen

• Windows 10 x64 & x86
• Windows 8.1 x64 & x86
• Windows 7 x64 & x86 (SP1)
• Windows XP x86 (SP3)
• Windows XP x64 (SP1)

Kompilieren

1. Installiere Visual Studio 2022.
2. Installiere das WDK10/WDK8/WDK7.
3. Öffne TitanHide.sln und drücke auf Kompilieren!

Voraussetzungen

Du musst PatchGuard und die Durchsetzung der Treibersignierung (DSE) deaktivieren, bevor du diesen Treiber verwendest.

Um PatchGuard zu deaktivieren, kannst du eines der folgenden Projekte ausprobieren:

• EfiGuard
• SandboxBootkit
• Shark
• UPGDSED (archiviert im Jahr 2019)

Um den Treiber zu laden, kannst du Testsignierung aktivieren:

bcdedit /set testsigning on

Installation

1. Kopiere TitanHide.sys nach %systemroot%\system32\drivers.
2. Führe den Befehl sc create TitanHide binPath= %systemroot%\system32\drivers\TitanHide.sys type= kernel aus, um den TitanHide-Dienst zu erstellen.
3. Führe den Befehl sc start TitanHide aus, um den TitanHide-Dienst zu starten.
4. Führe den Befehl sc query TitanHide aus, um zu prüfen, ob TitanHide läuft.

Um zu prüfen, ob TitanHide korrekt funktioniert, verwende DebugView oder überprüfe C:\TitanHide.log.

Verbergen

Für VMProtect 3.9.4 und höher musst du den Dienstnamen in etwas anderes ändern. Zum Beispiel sc create NotTitanHide, was ihre neueste „Erkennung" umgeht. Nach dem Ändern des Dienstnamens musst du das Plugin mit dem folgenden Befehl in x64dbg konfigurieren:

TitanHideName NotTitanHide

Anmerkungen

• Bei Verwendung von x64dbg kannst du das TitanHide-Plugin verwenden (verfügbar auf der Download-Seite).
• FÜHRE DIESEN TREIBER NIEMALS AUF EINEM PRODUKTIVSYSTEM AUS, VERWENDE IMMER EINE VM!