Terminator

• Reproduit la technique de Spyboy, qui consiste à terminer tous les processus EDR/XDR/AV en abusant du pilote zam64.sys
• Spyboy vendait le logiciel Terminator au prix de 3 000 $ pour plus de détails
• l'échantillon provient de loldrivers

utilisation

• la version compilée peut être trouvée ICI

• Placez le pilote Terminator.sys dans le même chemin que l'exécutable

• exécutez le programme en tant qu'administrateur

• gardez le programme en cours d'exécution pour empêcher le service de redémarrer les anti-malwares

  

détails techniques

• Le pilote contient un mécanisme de protection qui n'autorise que les Process IDs de confiance à envoyer des IOCTL. Sans ajouter votre Process ID à la liste de confiance, vous recevrez un message 'Access Denied' à chaque fois. Cependant, cela peut être facilement contourné en envoyant un IOCTL avec notre PID pour qu'il soit ajouté à la liste de confiance, ce qui nous permettra ensuite de contrôler de nombreux IOCTL critiques.