AxHunter

PoCs para la familia de drivers xhunter del anti-cheat Wellbia XIGNCODE3 — xhunter1.sys v2023.12.7.78 (CVE-2026-3609) y xhunter2.sys v2026.6.1.192 (CVE-2026-15430).

Estructura del workspace

Workspace de Cargo, tres crates:

AxHunter/
├── Cargo.toml               workspace manifest
├── axhunter-lsa/            shared crate — driver-agnostic LSA extraction (MemReader trait,
│                              LDR walk, BCrypt 3DES key extraction, LogonSessionList,
│                              WDigest). Consumed by both PoCs.
├── axhunter_v1/             xhunter1.sys v2023.12.7.78  (CVE-2026-3609)
└── axhunter_v2/             xhunter2.sys v2026.6.1.192  (CVE-2026-15430)

Cada crate de PoC incluye su propio binario de driver objetivo (xhunter1.sys, xhunter2.sys) y — en axhunter_v2/src/ — el módulo WBMF de Wellbia (wbmf_module.dll) extraído de un proceso WindSlayer.exe en ejecución.

Compilación

Desde la raíz del workspace:

cargo build --release              # builds both binaries + shared crate
cargo build --release -p AxHunter_v1
cargo build --release -p AxHunter_v2

Ambos binarios se generan en target/release/:

target/release/AxHunter_v1.exe
target/release/AxHunter_v2.exe

CLI unificada

Ambos binarios comparten los mismos flags:

AxHunter_v1.exe -m {dump|kill|lpe|inject|all} [-t <pid|image>] [-d <device>] [-p <payload.bin>]
AxHunter_v2.exe -m {dump|kill|lpe|inject|all} [-t <pid|image>] [-d <device>] [-p <payload.bin>]

Consulta el README de cada crate para conocer los valores predeterminados específicos del driver y los detalles de cada modo.

Artículos complementarios

• Hunting the Hunter — xhunter1.sys v2023.12.7.78. Corresponde a axhunter_v1/.
• Hunting the Hunter II — xhunter2.sys v2026.6.1.192. Corresponde a axhunter_v2/.

Comparación

Propiedad	xhunter1.sys v2023.12.7.78	xhunter2.sys v2026.6.1.192
CVE	CVE-2026-3609	CVE-2026-15430
Transporte	IRP_MJ_WRITE, trama en texto plano de 624 bytes	IRP_MJ_WRITE, trama cifrada con LCG-XOR de 1184 bytes
Magic de trama	0x345821AB	0x70506202 (MAGIC ^ SEED_KEY)
Autenticación de apertura del dispositivo	Ninguna	PE firmado con RSA-2048 de WBMF + Win32StartAddress dentro del PE
Autenticación por solicitud	Ninguna	Blob WBCC + iterador de cadena de certificados
Escalada de la puerta de PID	cmd 777 + cmd 775	cmd 777 + cmd 779 + cmd 775
cmd 785 (creación de handle PPL)	ObOpenObjectByPointer(KernelMode)	idéntico
cmd 787 (lectura entre procesos)	copia de bytes con KeStackAttachProcess	idéntico
cmd 800 (kill por handle stomp)	KeStackAttachProcess + ObSetHandleAttributes(KernelMode) + ZwClose	idéntico
cmd 820 (inyección en kernel)	asignación RWX + copia + RtlCreateUserThread (todo en ring 0)	idéntico

Referencia relacionada

• CVE-2026-3609 — xhunter1.sys desde v10.0.10011.16384 hasta v2023.12.7.78 (artículo, PoC heredado en CredsHunter).

Licencia

MIT. Consulta LICENSE.