voidsyscall

Zero WinAPI. Jede NT-Primitive wird zur Laufzeit aus ntdll im Speicher aufgelöst — SYSCALL-Instruktionen werden direkt über Plan9-Assembly-Stubs ausgeführt, keine Import-Tabelle, keine ntdll-Usermode-Hooks berührt. C2 über HTTPS / DNS / ICMP, AES-256-GCM pro Nachricht. Windows nativ. Linux-Builds. macOS-Builds.

Dies ist keine Syscall-Wrapper-Bibliothek. Es ist ein vollständiges Implant-Framework, bei dem jede Operation — vom Injizieren von Code über das Lesen von Dateien bis zur Persistenz in der Registry — über rohe Nt*-Syscalls läuft, die beim Start aus der aktuellen ntdll-Export-Tabelle aufgelöst werden. Es existieren keine WinAPI-Aufrufe in der Binärdatei. Nichts für eine EDR, das im Usermode gehooked werden könnte.

Was enthalten ist

Syscall-Engine

• Laufzeit-SSN-Auflösung: PEB → LDR → ntdll-Basis → PE-Export-Tabelle → djb2-Hash-Abgleich → Prolog-Scan nach B8 xx xx 00 00 0F 05 (direkt) oder 4C 8B D1 B8 xx xx 00 00 0F 05 (Hells Gate). Jeder Funktionsname wird zur Kompilierzeit gehasht — keine Klartext-Strings in der Binärdatei.
• Direkter Syscall: Plan9-Assembly (asm_amd64.s) lädt die SSN in EAX, setzt 7 Argumente manuell, führt SYSCALL aus. Rückgabe über RAX/RDX.
• Indirekter Syscall: Findet ein 0F 05 C3-Gadget (syscall;ret) innerhalb von ntdll und ruft darüber auf. Der CPU-Trap landet innerhalb von ntdll — der Call-Stack zeigt ntdll-Frames, nicht Implant-Frames. Kein Usermode-Hook überlebt.
• SSN-Fingerprint: Gibt alle aufgelösten SSNs aus dem aktuellen ntdll-Build aus, generiert einen Fingerprint-Hash. Export als Hex, Import auf einer anderen Maschine. Erkennt Build-Mismatches, bevor sie dich verbrennen.
• Unhook: Sperrt .text auf RWX, kopiert die Original-Bytes aus der disk- gemappten ntdll, stellt den Schutz wieder her, flusht den icache, vernichtet den SSN-Cache. Jeder von einer EDR platzierte Usermode-Hook ist verschwunden.

Injection — 4 Methoden, polymorphe Rotation

Der Agent rotiert automatisch durch die Injection-Techniken. Jeder Aufruf verwendet eine andere Methode — keine zwei Injektionen sehen in der Forensik gleich aus.

Anti-Analyse — 13+ Erkennungsmethoden

Führt alle Checks aus, liefert einen bewerteten Threat-Report. Auto-Destruction bei Critical.

Token-Operationen

Alles über Nt*-Syscalls, kein WinAPI.

• EnablePrivilege(index) — beliebiges Privileg per LUID setzen
• EnableAllTokenPrivileges() — 20 Privilegien auf einmal (Debug, Impersonate, TCB, Backup, Restore, etc.)
• GetProcessTokenIntegrityLevel() — Mandatory Integrity abfragen
• StealProcessToken(pid) — Token eines anderen Prozesses öffnen + duplizieren
• ImpersonateThread() / RevertToSelf()

VAD-Operationen

• EnumVirtualMemory() — alle virtuellen Regionen via NtQueryVirtualMemory durchlaufen
• FindWritableExecRegions() — PAGE_EXECUTE_READWRITE-committete Regionen finden
• HideRegion() — PAGE_NOACCESS setzen, um Speicher vor Scannern zu verbergen
• UnhideRegion() — ursprünglichen Schutz wiederherstellen

Datei-I/O — alles Nt*-Syscalls

NtCreateFile → NtReadFile / NtWriteFile → NtClose. Null CreateFileA, ReadFile, WriteFile oder DeleteFileW-Aufrufe. ReadFileContents(), WriteFileContents(), DeleteFileNt(), FileExists().

Registry-Persistenz — alles Nt*-Syscalls

NtCreateKey → NtSetValueKey. AddRunKeyPersistence(), RemoveRunKeyPersistence(). Kein RegCreateKeyEx, RegSetValueEx oder irgendwelche Advapi32-Aufrufe.

Handle-Operationen

• EnumerateSystemHandles() — alle offenen Handles im System via NtQuerySystemInformation(SystemHandleInformation)
• FindEDRHandles() — gleicht Owner-PIDs gegen 30+ bekannte EDR-Prozess- namen ab (MsSense, CrowdStrike, Sentinel, Cylance, Carbon Black, etc.)
• CloseEDRHandles() — schließt Monitoring-Handles, die die EDR in deinem Prozess platziert hat
• IsProcessMonitored() — Boolean-Check: werden wir überwacht?

Speicherverschlüsselung

• Vault: In-Memory-XOR-Chiffre mit automatischer Re-Keying per Timer. Klartext wird nie roh gespeichert. Re-Key entschlüsselt → generiert neuen Key → verschlüsselt neu. Forensische Heap-Dumps zwischen Re-Key-Intervallen erhalten Müll.
• SecureDelete: 3-Pass-Wipe (Random → Nullen → Einsen → Nullen) vor NtFreeVirtualMemory.
• StackEncrypt: Verschlüsselt stack-allokierte Buffer vor der Rückkehr. Stack-Frame-Wiederverwendung macht Forensik unzuverlässig.

AMSI / ETW / Evasion-Patches

• PatchAMSI() — AmsiScanBuffer → MOV EAX, 0; RET
• PatchETW() — EtwEventWrite → RET
• PatchNtTraceEvent() — NtTraceEvent → RET
• PatchDbgUiRemoteBreakin() — Thread Breakin → RET
• PatchInstrumentationCallbacks() — ThreadHideFromDebugger

C2-Kanäle

Alle Kanäle implementieren das Channel-Interface. NTP, DoH oder TURN hinzuzufügen bedeutet, das Interface zu implementieren — null Agent-Änderungen.

Krypto

AES-256-GCM pro Nachricht AEAD. Eindeutiger 12-Byte-Nonce pro Nachricht. Keyring pro Implant. Passphrase-basierte Key-Ableitung verfügbar. 3 Tests, alle bestanden.

Layout

voidsyscall/
  syscallwin/          Direct/indirect NT syscalls + evasion
    asm_amd64.s        Syscall/IndirectSyscall/ReadGSBase/SetGSBase/asm_cpuid/asm_rdtsc
    resolve.go         PEB→LDR→ntdll walk, PE export parse, SSN cache, prologue scan
    stubs.go           ~25 Nt* wrappers, DirectSyscall, IndirectSyscallByHash
    hash.go            djb2 hash (string + UTF-16 pointer)
    constants.go       MEM_*, PAGE_*, THREAD_*, TOKEN_*, OBJ_*, REG_*, FILE_*, STATUS_*
    unhook.go          UnhookNtdll, SelfDel
    peb.go             PEB patching (BeingDebugged, NtGlobalFlag, Heap, DebugPort)
    token.go           Privilege escalation, token theft, impersonation
    vad.go             VAD enumeration, hide/unhide regions
    files.go           File I/O via Nt* syscalls
    registry.go        Registry persistence via Nt* syscalls
    fingerprint.go     SSN dump, build fingerprint, hex export/import
    inject_advanced.go 4 injection methods: section mapping, hollow, APC, module stomp
    antianalysis.go    VM/sandbox/debug/timing detection, scored threat report
    handles.go         System handle enumeration, EDR handle killer
    memcrypt.go        Vault (re-keying XOR), SecureDelete, StackEncrypt, WipeMemory
  syscallnix/          Linux/darwin raw syscalls
  patches/             AMSI, ETW, NtTraceEvent, DbgUiRemoteBreakin, InstrumentationCallbacks
  loader/              CreateThread/APC/module-stomp injection
  channels/            HTTP, DNS (TXT), ICMP — Channel interface
  crypto/              AES-256-GCM, envelope, passphrase variant (3 tests)
  server/              SessionManager, Task Queue, interactive REPL
  agent/               Config, beacon loop, 10 task handlers
  cmd/server/main.go   CLI with REPL
  cmd/agent/main.go    Windows-only entrypoint

Build

GOOS=windows GOARCH=amd64 go build -ldflags="-s -w" -o voidsyscall-agent.exe   ./cmd/agent
GOOS=windows GOARCH=amd64 go build -ldflags="-s -w" -o voidsyscall-server.exe  ./cmd/server
GOOS=linux   GOARCH=amd64 go build -ldflags="-s -w" -o server-linux            ./cmd/server
GOOS=darwin  GOARCH=arm64 go build -ldflags="-s -w" -o server-darwin           ./cmd/server

Obfuskation mit garble:

GOOS=windows GOARCH=amd64 garble -literals -tiny build -ldflags="-s -w" \
    -o voidsyscall-agent.exe ./cmd/agent

Verwendung

Server

openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes
./voidsyscall-server.exe --cert cert.pem --key key.pem --https-port 443

Agent

./voidsyscall-agent.exe -c agent/example-config.json

Task-Protokoll

SSN-Auflösungs-Interna

1. ReadGSBase (asm) → GS:[0x60] → TEB
2. TEB+0x60 → PEB. PEB+0x18 → Ldr
3. InMemoryOrderModuleList durchlaufen → ntdll.dll via djb2-Hash abgleichen
4. Basis → IMAGE_DOS_HEADER → e_lfanew → IMAGE_NT_HEADERS → DataDirectory[0] = Export-Tabelle
5. AddressOfNames[] durchlaufen, jeweils djb2, Ziel abgleichen
6. Ordinal auflösen → AddressOfFunctions[ordinal] → Funktionsadresse
7. Prolog scannen nach B8 xx xx 00 00 0F 05 (direkt), B8 xx xx 00 00 C3 (Early-Ret) oder 4C 8B D1 B8 xx xx 00 00 0F 05 (Hells Gate)

Keine Funktionsnamen in der Binärdatei. Nur djb2-Hashes. Die syscall-Instruktion umgeht jeden Usermode-Hook.

Agent-Task-Handler

TaskShell       // exec via cmd.exe
TaskInject      // polymorphic: section/hollow/APC/stomp
TaskPatch       // AMSI/ETW/both
TaskEvasion     // PEB patches + VM/sandbox/debug/timing detection
TaskHandles     // enumerate + kill EDR monitoring handles
TaskFingerprint // dump SSN build fingerprint
TaskToken       // privilege escalation + impersonation
TaskVault       // encrypted in-memory storage
TaskSleep       // jitter-aware sleep
TaskExit        // clean shutdown

Status

Ausgeliefert: Beacon-Loop, Task-Queue, 3 C2-Kanäle, 4 Injection-Methoden, 10+ Evasion-Checks, Handle-Enumeration/-Schließung, Token-Manipulation, VAD-Operationen, Datei-I/O, Registry-Persistenz, SSN-Fingerprinting, Speicherverschlüsselung, AMSI/ETW-Patching, AES-GCM-Krypto, Session-Management, interaktive REPL. 3 Krypto-Tests bestehen. go build sauber unter Windows.

Noch nicht: Linux autonomer Agent (Builds existieren, keine Agent-Logik), Session-Key-Rotation, Staged Loader, NTP/DoH-Kanäle, Persistenz-Scheduling.

Danksagungen

• carved4/go-native-syscall
• Enelg52/OffensiveGo
• am0nsec/HellsGate
• f1zm0/acheron
• Sliver C2

Lizenz

MIT — LICENSE