SandboxBootkit

Bootkit, getestet auf Windows Sandbox, um ntoskrnl.exe zu patchen und DSE/PatchGuard zu deaktivieren. Es gibt einen Blogbeitrag, der näher auf die Implementierung eingeht.

Erste Schritte

• Lade das neueste Release herunter und entpacke das Archiv
• Führe Installer.exe aus
• Starte Windows Sandbox

Hinweis: (Teile) des Releases könnten von Windows Defender als Virus erkannt werden. Dies ist ein Fehlalarm, daher musst du möglicherweise eine Ausnahme hinzufügen.

Fehlerbehebung

Wenn du Probleme hast, die Dinge auf Windows Sandbox zum Laufen zu bringen, stelle sicher, dass du es mit aktiviertem Entwicklungsmodus versuchst (CmDiag DevelopmentMode -On). Auf Windows 11 gab es Berichte, dass die Änderungen ohne diesen nicht auf die Sandbox angewendet werden.

Standalone-Bootkit

Du kannst SandbotBootkit.efi auch auf echter Hardware oder einer VM ausführen (obwohl du in diesem Fall genauso gut EfiGuard verwenden könntest). Dazu hängst du eine neue (virtuelle) Festplatte an (formatiert als FAT32) und kopierst SandboxBootkit.efi nach \EFI\Boot\bootx64.efi. Ändere dann die Boot-Reihenfolge, sodass zuerst von deiner neuen Festplatte gebootet wird. Die relevante Funktionalität ist in der Funktion LoadBootManager implementiert.

Entwicklung

• Klone das Projekt (mit Submodulen)
• Verwende SandboxBootkit.sln, um das Projekt zu bauen
• Schau dir das Installer-Projekt an, um zu erfahren, wie man das Bootkit installiert

Hinweis: Während der Entwicklung ist es am einfachsten, den Entwicklungsmodus zu aktivieren. Ohne ihn kannst du nicht in die BaseLayer schreiben.