stealth_call

Moteur de syscalls

• Syscalls indirects — les stubs sautent dans le gadget syscall; ret propre à ntdll, donc RIP est toujours à l'intérieur de ntdll lorsque l'instruction syscall s'exécute
• Génération de stub par appel — chaque invocation unique construit un stub frais avec du bruit aléatoire, une disposition aléatoire, un numéro de syscall XORé. Rien n'est réutilisé
• Application de W^X — les pages de travail passent RW → RX → RW. RWX n'est jamais alloué, point final
• Stubs effacés immédiatement après chaque appel
• Syscalls extraits du mappage de section \KnownDlls\ntdll.dll (aucun accès au système de fichiers, invisible pour ProcMon)
• 977 syscalls résolus sur un système Win11 typique

Anti-Breakpoint

• Approche basée sur VEH — si un débogueur place un 0xCC sur votre fonction cible, le gestionnaire d'exceptions restaure silencieusement l'octet d'origine, exécute l'instruction en pas-à-pas, puis remet le breakpoint en place. Le débogueur ne sait jamais qu'il a été contourné. Zéro fenêtre de timing
• Fonctionne sur n'importe quelle fonction dans n'importe quelle DLL, pas seulement ntdll

Évasion

• Bypass AMSI — patche AmsiScanBuffer pour retourner S_OK
• Bypass ETW — patche EtwEventWrite pour retourner SUCCESS
• Tout le patching est fait via des syscalls directs, pas via VirtualProtect
• Chaînes XOR-chiffrées partout — noms de DLL, chemins, tout. Déchiffrées sur la pile, effacées après usage
• Algorithme de hachage personnalisé (pas FNV-1a, pas CRC32 — aucune signature YARA connue)
• Parcours du PEB pour toute résolution de module/fonction — pas de GetModuleHandle, pas de GetProcAddress

Qualité du code

• Header-only, déposez le dossier stealth/ dans votre projet et c'est parti
• Thread-safe via des pages de travail par thread + spinlocks
• Nettoyage complet à l'arrêt — pages de travail libérées, mappages remis à zéro, VEH supprimé
• Détection de hooks pour les trampolines EDR courants (jmp rel32, jmp [rip], mov rax + jmp rax)

Comment ça fonctionne

Chemin des syscalls

1. initialize() ouvre ntdll via la section \KnownDlls, analyse les exports PE, récupère chaque numéro de syscall
2. Scanne le .text de ntdll pour trouver un gadget syscall; ret — c'est là que l'instruction syscall réelle s'exécutera
3. Lorsque vous appelez sc::invoke() :
   • Recherche l'entrée du syscall par hachage
   • Récupère la page de travail du thread appelant (ou en alloue une, RW uniquement)
   • emit_stub() construit un stub polymorphe unique — instructions de bruit aléatoires avant/après, numéro de syscall obfusqué par XOR avec une clé par appel, jmp indirect vers le gadget ntdll
   • Bascule la page RW → RX
   • Appelle à travers le stub
   • Rebascule RX → RW
   • Remet à zéro les octets du stub

À aucun moment la mémoire RWX n'existe. À aucun moment une instruction syscall ne s'exécute en dehors de ntdll. À aucun moment les numéros de syscall ne sont stockés en clair.

Trampoline VEH

Vous appelez tramp::invoke() avec la fonction cible. S'il n'y a pas de breakpoint — la fonction s'exécute normalement avec zéro surcoût. Si un débogueur a placé un 0xCC :

1. L'exception INT3 se déclenche
2. Notre gestionnaire VEH vérifie si l'adresse est dans notre table (recherche par hachage, pas un scan linéaire)
3. Restaure l'octet d'origine depuis une copie propre lue sur le disque
4. Active le Trap Flag
5. Continue l'exécution — la vraie instruction s'exécute
6. L'exception de pas-à-pas se déclenche
7. Le gestionnaire remet le 0xCC en place

La liste des breakpoints du débogueur affiche toujours le breakpoint comme actif. Le breakpoint ne se déclenche simplement jamais sur nos appels.

Compilation

Nécessite MSVC (VS 2019+) et CMake 3.15+. La sortie fait ~19KB avec zéro import.

Utilisation

Syscalls

Anti-Breakpoint

AMSI / ETW

Nettoyage

Structure du projet

Licence

MIT — faites-en ce que vous voulez.