Black Angel Rootkit

Black Angel est un rootkit en mode noyau pour Windows 11/10 x64. Le rootkit peut être chargé avec DSE activé tout en conservant l'ensemble de ses fonctionnalités.

Conçu pour les Red Teams.

Fonctionnalités du rootkit

Le rootkit peut être chargé avec kdmapper pour contourner DSE ; le chargeur Black Angel peut ne pas encore fonctionner parfaitement. Le projet driver-hijack est utilisé pour conserver toutes les fonctionnalités du pilote, comme la prise en charge des callbacks.

Contournement DSE (Pas besoin d'activer la signature de test)
~~Contournement KPP~~
Masquer des processus
Masquer des ports (TCP/UDP)
Élévation des privilèges de processus
Protection des processus
Injecteur de shellcode (Shellcode incassable. Même si le processus meurt, le shellcode peut continuer à s'exécuter)
(TODO) Masquer des fichiers/répertoires
(TODO) Masquer des clés de registre

Implémentation

Vous pouvez facilement implémenter les appels du rootkit en copiant et en collant le fichier en-tête BlackAngel dans votre projet.

Démonstration

Vous pouvez trouver une démonstration du rootkit sur ma chaîne

Informations supplémentaires

N'oubliez pas de modifier l'offset ACTIVE_PROCESS_LINKS correspondant à votre version de Windows. L'offset actuel a été testé sur Windows 10/11 Pro 21H2.
Il peut encore y avoir des problèmes de stabilité !
L'injecteur de shellcode KM est surpuissant. Si vous injectez un shellcode dans un processus protégé, aucun antivirus ne le supprimera >:D Des shellcodes simples tels que Metasploit shell_reverse_tcp peuvent fonctionner même si le processus est terminé.

Black-Angel-Rootkit

Populaires