Terminator

• Reproduktion der Spyboy-Technik, bei der alle EDR-/XDR-/AV-Prozesse durch Missbrauch des zam64.sys-Treibers beendet werden
• Spyboy verkaufte die Terminator-Software für 3.000 $ weitere Details
• Die Probe stammt von loldrivers

Verwendung

• Die kompilierte Version finden Sie HIER

• Platzieren Sie den Treiber Terminator.sys im selben Pfad wie die ausführbare Datei

• Führen Sie das Programm als Administrator aus

• Halten Sie das Programm am Laufen, um zu verhindern, dass der Dienst die Anti-Malware-Programme neu startet

  

Technische Details

• Der Treiber enthält einen Schutzmechanismus, der nur vertrauenswürdigen Prozess-IDs das Senden von IOCTLs erlaubt. Ohne das Hinzufügen Ihrer Prozess-ID zur Vertrauensliste erhalten Sie jedes Mal eine 'Access Denied'-Meldung. Dies kann jedoch leicht umgangen werden, indem eine IOCTL mit unserer PID gesendet wird, um zur Vertrauensliste hinzugefügt zu werden, was uns dann die Kontrolle über zahlreiche kritische IOCTLs ermöglicht