🗑️ delete-self-poc

El delete-self-poc es una demostración de un método para eliminar un ejecutable bloqueado o un archivo actualmente en ejecución del disco. Este concepto fue descubierto inicialmente por Jonas Lykkegaard, y yo he creado la prueba de concepto (POC) para el mismo. Además, puede utilizarse para eliminar archivos bloqueados en el disco, siempre que el proceso llamante actual tenga los permisos necesarios para acceder a ellos y eliminarlos.

¿Cómo funciona esto, en esta POC?

1. Abre un HANDLE al proceso actualmente en ejecución con acceso DELETE. Ten en cuenta que solo se requiere acceso DELETE.
2. Utiliza la función SetFileInformationByHandle para renombrar el flujo de archivo principal, :$DATA, a :wtfbbq.
3. Cierra el HANDLE.
4. Abre un HANDLE al proceso actual y establece el indicador DeleteFile de la clase FileDispositionInfo en TRUE.
5. Cierra el HANDLE para activar la disposición del archivo.
6. ¡Voilà! El archivo ya no está.

Lanzamientos

He incluido una versión enlazada estáticamente dentro de este repositorio, por si no te apetece compilar el código fuente original.