Black Angel Rootkit

Black Angel ist ein Windows 11/10 x64 Kernel-Mode-Rootkit. Das Rootkit kann bei aktiviertem DSE geladen werden, während es seine volle Funktionalität beibehält.

Entwickelt für Red Teams.

Rootkit-Funktionen

Das Rootkit kann mit kdmapper geladen werden, um DSE zu umgehen. Der Black Angel Loader funktioniert möglicherweise noch nicht einwandfrei. Das Projekt driver-hijack wird verwendet, um die volle Treiberfunktionalität wie Callback-Unterstützung beizubehalten.

DSE-Bypass (Testsignierung muss nicht aktiviert werden)
~~KPP-Bypass~~
Prozesse verbergen
Ports verbergen (TCP/UDP)
Prozessberechtigungen erhöhen
Prozessschutz
Shellcode-Injektor (Nicht beendbarer Shellcode. Selbst wenn der Prozess stirbt, kann der Shellcode weiterlaufen)
(TODO) Dateien/Verzeichnisse verbergen
(TODO) Registrierungsschlüssel verbergen

Implementierung

Sie können Rootkit-Aufrufe einfach implementieren, indem Sie die BlackAngel-Headerdatei kopieren und in Ihr Projekt einfügen.

Demonstration

Eine Demonstration des Rootkits finden Sie auf meinem Kanal

Zusätzliche Informationen

Denken Sie daran, den ACTIVE_PROCESS_LINKS-Offset entsprechend Ihrer Windows-Version zu ändern. Der aktuelle Offset wurde unter Windows 10/11 Pro 21H2 getestet.
Es kann weiterhin Stabilitätsprobleme geben!
Der KM-Shellcode-Injektor ist OP. Wenn Sie Shellcode in einen geschützten Prozess injizieren, wird kein Antivirusprogramm ihn entfernen >:D Einfache Shellcodes wie Metasploit shell_reverse_tcp können auch dann funktionieren, wenn der Prozess beendet wird.

Black-Angel-Rootkit

Beliebteste