Hidden 🇺🇦

Hidden ha sido desarrollado como una solución para tareas de ingeniería inversa e investigación. Es un controlador de Windows con una interfaz de modo de usuario que se utiliza para ocultar entornos específicos en su máquina Windows, como programas RCE instalados (ej. procmon, wireshark), infraestructura VM (ej. vmware tools) y etc.

Características

• ocultar claves y valores del registro
• ocultar archivos y directorios
• ocultar procesos (experimental, podría no ser estable)
• proteger procesos específicos
• excluir procesos específicos de las funciones de ocultación y protección
• interfaz de modo de usuario (lib y cli) para trabajar con un controlador

y así sucesivamente

Requisitos del sistema

Windows Vista y superiores, x86 y x64

Entorno de compilación recomendado

• Visual Studio 2019
• Windows Driver Kit 10

Compilación

La siguiente guía explica cómo hacer una compilación de lanzamiento win32

1. Abra Hidden.sln usando Visual Studio
2. Compile el proyecto Hidden Package con las configuraciones Release, Win32
3. Abra la carpeta de resultados de compilación <ProjectDir>\Release

Instalación

1. Deshabilite la aplicación de firma digital en una máquina de prueba (bcdedit /set TESTSIGNING ON) y reiníciela
2. Copie los archivos de <ProjectDir>\Release\Hidden Package a una máquina de prueba
3. Haga clic derecho en Hidden.inf y elija Instalar
4. Inicie el controlador (sc start hidden)
5. Asegúrese de que el servicio se esté ejecutando (sc query hidden)

Importante: Tenga en cuenta que la arquitectura de bits del controlador debe ser la misma que la del sistema operativo

Ocultación

Una herramienta de línea de comandos hiddencli se utiliza para administrar un controlador. Puede usarla para ocultar y mostrar objetos, cambiar el estado del controlador, etc.

Para ocultar un archivo, pruebe el comando

hiddencli /hide file c:\Windows\System32\calc.exe

¿Quiere ocultar un directorio? No hay problema

hiddencli /hide dir "c:\Program Files\VMWare"

¿Clave de registro?

hiddencli /hide regkey "HKCU\Software\VMware, Inc."

¿Quizás un proceso?

hiddencli /hide pid 2340

¿Por el nombre de la imagen del proceso?

hiddencli /hide image apply:forall c:\Windows\Explorer.EXE

Para obtener ayuda completa, simplemente escriba

hiddencli /help