Black Angel Rootkit

Black Angel es un rootkit en modo kernel de Windows 11/10 x64. El rootkit puede cargarse con DSE habilitado manteniendo toda su funcionalidad.

Diseñado para Red Teams.

Características del Rootkit

El rootkit puede cargarse con kdmapper para omitir DSE; Black Angel Loader puede que aún no funcione correctamente. El proyecto driver-hijack se utiliza para mantener la funcionalidad completa del driver, como la compatibilidad con callbacks.

Bypass de DSE (No es necesario activar el modo de firma de prueba)
~~Bypass de KPP~~
Ocultar procesos
Ocultar puertos (TCP/UDP)
Elevación de permisos de procesos
Protección de procesos
Inyector de shellcode (Shellcode inmortal. Incluso si el proceso muere, el shellcode puede seguir ejecutándose)
(TODO) Ocultar archivos/directorios
(TODO) Ocultar claves del registro

Implementación

Puedes implementar fácilmente las llamadas del rootkit copiando y pegando el archivo encabezado BlackAngel en tu proyecto.

Demostración

Puedes encontrar la demostración del rootkit en mi canal

Información adicional

Recuerda cambiar el offset ACTIVE_PROCESS_LINKS correspondiente a tus versiones de Windows. El offset actual ha sido probado en Windows 10/11 Pro 21H2.
¡Todavía puede haber problemas de estabilidad!
El inyector de shellcode KM es OP. Si inyectas shellcode en un proceso protegido, ningún antivirus lo eliminará >:D Shellcodes simples como Metasploit shell_reverse_tcp pueden funcionar incluso si el proceso es terminado.

Black-Angel-Rootkit

Más Populares