SandboxBootkit

Bootkit testé sur Windows Sandbox pour patcher ntoskrnl.exe et désactiver DSE/PatchGuard. Un article de blog détaille davantage l'implémentation.

Pour commencer

• Téléchargez la dernière version et extrayez l'archive
• Exécutez Installer.exe
• Démarrez Windows Sandbox

Remarque : (certaines parties de) la version publiée peuvent être détectées comme un virus par Windows Defender. Il s'agit d'un faux positif, vous devrez donc peut-être ajouter une exclusion.

Dépannage

Si vous rencontrez des problèmes pour faire fonctionner les choses sur Windows Sandbox, assurez-vous d'essayer avec le mode développement activé (CmDiag DevelopmentMode -On). Sur Windows 11, des rapports indiquent que les modifications ne sont pas appliquées au sandbox sans cela.

Bootkit autonome

Vous pouvez également exécuter SandbotBootkit.efi sur du matériel réel ou une VM (bien que vous puissiez tout aussi bien utiliser EfiGuard dans ce cas). Pour ce faire, vous attachez un nouveau disque (virtuel) (formaté en FAT32) et copiez SandboxBootkit.efi vers \EFI\Boot\bootx64.efi. Modifiez ensuite l'ordre de démarrage pour démarrer d'abord depuis votre nouveau disque. La fonctionnalité concernée est implémentée dans la fonction LoadBootManager.

Développement

• Clonez le projet (avec les sous-modules)
• Utilisez SandboxBootkit.sln pour compiler le projet
• Consultez le projet Installer pour savoir comment installer le bootkit

Remarque : Pendant le développement, il est plus simple d'activer le mode développement. Sans cela, vous ne pourrez pas écrire dans le BaseLayer.