Hidden 🇺🇦

Hidden a été développé comme une solution pour les tâches de rétro-ingénierie et de recherche. Il s'agit d'un pilote Windows avec une interface mode utilisateur utilisé pour cacher des éléments spécifiques de votre environnement Windows, comme les programmes RCE installés (ex. procmon, wireshark), l'infrastructure de machines virtuelles (ex. VMware Tools), etc.

Fonctionnalités

• masquer les clés et valeurs de registre
• masquer les fichiers et répertoires
• masquer les processus (expérimental, peut ne pas être stable)
• protéger des processus spécifiques
• exclure des processus spécifiques des fonctionnalités de masquage et de protection
• interface mode utilisateur (bibliothèque et CLI) pour interagir avec le pilote

et ainsi de suite

Configuration système requise

Windows Vista et versions ultérieures, x86 et x64

Environnement de build recommandé

• Visual Studio 2019
• Windows Driver Kit 10

Compilation

Le guide suivant explique comment réaliser une build release Win32

1. Ouvrez Hidden.sln avec Visual Studio
2. Compilez le projet Hidden Package avec les configurations Release, Win32
3. Ouvrez le dossier des résultats de build <ProjectDir>\Release

Installation

1. Désactivez l'application de la signature numérique sur une machine de test (bcdedit /set TESTSIGNING ON) et redémarrez-la
2. Copiez les fichiers de <ProjectDir>\Release\Hidden Package vers une machine de test
3. Faites un clic droit sur Hidden.inf et choisissez Installer
4. Démarrez le pilote (sc start hidden)
5. Assurez-vous que le service est en cours d'exécution (sc query hidden)

Important : Gardez à l'esprit que l'architecture du pilote doit correspondre à celle du système d'exploitation

Masquage

Un outil en ligne de commande hiddencli est utilisé pour gérer le pilote. Vous pouvez l'utiliser pour masquer et afficher des objets, changer l'état du pilote, etc.

Pour masquer un fichier, essayez la commande

hiddencli /hide file c:\Windows\System32\calc.exe

Vous voulez masquer un répertoire ? Aucun problème

hiddencli /hide dir "c:\Program Files\VMWare"

Une clé de registre ?

hiddencli /hide regkey "HKCU\Software\VMware, Inc."

Peut-être un processus ?

hiddencli /hide pid 2340

Par le nom d'image d'un processus ?

hiddencli /hide image apply:forall c:\Windows\Explorer.EXE

Pour obtenir l'aide complète, tapez simplement

hiddencli /help