shadow-rs 🦀

shadow-rs es un rootkit del kernel de Windows escrito en Rust, que demuestra técnicas avanzadas de manipulación del kernel aprovechando las características de seguridad y rendimiento de Rust. Este proyecto está destinado a fines educativos y de investigación.

Tabla de Contenidos

• Aviso Legal
• Características
• Instalación
• Plataformas Soportadas
• Instrucciones de Compilación
  • Driver
  • Cliente
• Instrucciones de Configuración
  • Habilitar Modo de Prueba
  • Depuración con Windbg
  • Crear/Iniciar Servicio
• Descargo de Responsabilidad
• Contribuir a shadow-rs
• Referencias
• Licencia
• Contribuyentes

Aviso Legal

[!IMPORTANT]
Este proyecto está en desarrollo.

Características

Proceso

• ✅ Ocultar y mostrar procesos.
• ✅ Modificar niveles de firma de procesos para manejar Procesos Protegidos (PP) y Proceso Ligero Protegido (PPL).
• ✅ Proteger procesos contra terminación y volcado de memoria.
• ✅ Elevar privilegios de procesos a SISTEMA, otorgando acceso administrativo completo.
• ✅ Terminar procesos objetivo.
• ✅ Listar todos los procesos protegidos y ocultos.

Hilo

• ✅ Ocultar y mostrar hilos.
• ✅ Proteger hilos contra terminación o suspensión.
• ✅ Listar todos los hilos protegidos y ocultos.

Driver

• ✅ Ocultar y mostrar drivers en modo kernel.
• ✅ Enumerar todos los drivers cargados.
• ✅ Habilitar o deshabilitar la Imposición de Firma de Drivers (DSE) para permitir la carga de drivers sin firmar.
• ✅ Bloquear la carga de drivers.

Callback

• ✅ Listar callbacks registrados para creación de procesos, creación de hilos, carga de imágenes y operaciones del registro.
• ✅ Eliminar o restaurar callbacks específicos.
• ✅ Listar todos los callbacks eliminados.

Miscelánea

• ✅ Capturar pulsaciones de teclas de la entrada del usuario en tiempo real con interceptación a nivel de kernel.
• ✅ Deshabilitar Microsoft-Windows-Threat-Intelligence (EtwTi).
• ✅ Limpiar artefactos de drivers de volcados de memoria en caso de BSOD.
• ✅ Compilar cadenas de cifrado.
• ✅ Soporte para carga reflectiva de drivers.

Ejecución de Código en Modo Usuario

• ✅ Inyectar shellcode o DLLs en procesos usando ZwCreateThreadEx.
• ✅ Inyección de Llamada a Procedimiento Asíncrono (APC) para ejecutar shellcode o DLLs en hilos alertables.
• ✅ Ejecutar shellcode en procesos mediante Secuestro de Hilos.

Módulo

• ✅ Ocultar módulos de los listados de memoria de procesos.
• ✅ Enumerar todos los módulos cargados.

Registro

• ✅ Ocultar y mostrar claves y valores del registro para evitar detección y manipulación.
• ✅ Aplicar protección al registro para evitar eliminación o sobrescritura de claves o valores.

Red

• ✅ Ocultar y mostrar puertos de red de netstat y herramientas de monitoreo similares.

Instalación

• Instalar Rust desde aquí.
• Sigue la guía de Microsoft para configurar Rust para el desarrollo de kernel.

Plataformas Soportadas

• ✅ Windows 10 / 11 (solo x64)

Instrucciones de Compilación

Driver

Navega al directorio driver y compila el driver del kernel:

cargo make default --release

[!IMPORTANT]
Nota: La primera compilación debe ejecutarse como Administrador. Las compilaciones posteriores no requieren privilegios elevados.

Para habilitar soporte de mapeo para herramientas como kdmapper, compila con:

cargo make default --release --features mapper

Cliente

Navega al directorio client y compila el cliente en modo usuario:

cargo build --release

Para compatibilidad con drivers mapeados:

cargo build --release --features mapper

Instrucciones de Configuración

Habilitar Modo de Prueba o Modo de Firma de Prueba

bcdedit /set testsigning on

Crear / Iniciar Servicio

Puedes usar el Administrador de Control de Servicios o el OSR Driver Loader para cargar tu driver.

Depuración

Usa Windbg para conectarte al kernel y monitorear la actividad del driver.

bcdedit /debug on
bcdedit /dbgsettings net hostip:<IP> port:<PORT>

Contribuir a shadow-rs

Para contribuir a shadow-rs, sigue estos pasos:

1. Haz un fork de este repositorio.
2. Crea una rama: git checkout -b <nombre_rama>.
3. Realiza tus cambios y confírmalos: git commit -m '<mensaje_commit>'.
4. Envía a la rama original: git push origin <nombre_proyecto> / <local>.
5. Crea el pull request.

Alternativamente, consulta la documentación de GitHub sobre cómo crear un pull request.

Descargo de Responsabilidad

Este proyecto es para fines educativos y de investigación. El uso malintencionado del software está estrictamente prohibido y desaconsejado. No soy responsable de ningún daño causado por el uso inadecuado del software.

Referencias

Quiero expresar mi gratitud a estos proyectos que me inspiraron a crear shadow-rs y contribuir con algunas características:

• Hidden
• Nidhogg
• eagle-rs
• Banshee
• ReadWriteDriverSample

Otros Recursos Esenciales:

Estos materiales e investigaciones han sido invaluables para profundizar mi comprensión del desarrollo del kernel de Windows:

• UnKnoWnCheaTs
• Reactos
• Blinding EDR On Windows
• Windows Kernel Programming - Pavel
• Rootkit Arsenal Escape Evasion Corners
• Rootkits Subverting Windows Greg Hoglund
• Rootkits Bootkits Reversing Malware Generation
• Memory Forensics
• Leveraging Rootkits for Post-Exploitation - Black Hat

Licencia

Este proyecto está licenciado bajo la Licencia MIT. Consulta el archivo LICENSE para más detalles.

Contribuyentes