AxHunter

Wellbia XIGNCODE3 anti-cheat xhunter ड्राइवर परिवार के लिए PoC — xhunter1.sys v2023.12.7.78 (CVE-2026-3609) और xhunter2.sys v2026.6.1.192 (CVE-2026-15430)।

वर्कस्पेस लेआउट

Cargo वर्कस्पेस, तीन क्रेट्स:

AxHunter/
├── Cargo.toml               workspace manifest
├── axhunter-lsa/            shared crate — driver-agnostic LSA extraction (MemReader trait,
│                              LDR walk, BCrypt 3DES key extraction, LogonSessionList,
│                              WDigest). Consumed by both PoCs.
├── axhunter_v1/             xhunter1.sys v2023.12.7.78  (CVE-2026-3609)
└── axhunter_v2/             xhunter2.sys v2026.6.1.192  (CVE-2026-15430)

प्रत्येक PoC क्रेट अपना लक्ष्य ड्राइवर बाइनरी (xhunter1.sys, xhunter2.sys) रखता है और — axhunter_v2/src/ में — एक लाइव WindSlayer.exe प्रोसेस से निकाला गया Wellbia का WBMF मॉड्यूल (wbmf_module.dll)।

बिल्ड

वर्कस्पेस रूट से:

cargo build --release              # builds both binaries + shared crate
cargo build --release -p AxHunter_v1
cargo build --release -p AxHunter_v2

दोनों बाइनरीज़ target/release/ में बनती हैं:

target/release/AxHunter_v1.exe
target/release/AxHunter_v2.exe

एकीकृत CLI

दोनों बाइनरीज़ समान फ़्लैग साझा करती हैं:

AxHunter_v1.exe -m {dump|kill|lpe|inject|all} [-t <pid|image>] [-d <device>] [-p <payload.bin>]
AxHunter_v2.exe -m {dump|kill|lpe|inject|all} [-t <pid|image>] [-d <device>] [-p <payload.bin>]

ड्राइवर-विशिष्ट डिफ़ॉल्ट और मोड विवरण के लिए प्रत्येक क्रेट का README देखें।

सहयोगी लेख

• Hunting the Hunter — xhunter1.sys v2023.12.7.78। axhunter_v1/ से संबंधित।
• Hunting the Hunter II — xhunter2.sys v2026.6.1.192। axhunter_v2/ से संबंधित।

तुलना

गुण	xhunter1.sys v2023.12.7.78	xhunter2.sys v2026.6.1.192
CVE	CVE-2026-3609	CVE-2026-15430
ट्रांसपोर्ट	IRP_MJ_WRITE, 624-बाइट plaintext फ़्रेम	IRP_MJ_WRITE, 1184-बाइट LCG-XOR-एन्क्रिप्टेड फ़्रेम
फ़्रेम मैजिक	0x345821AB	0x70506202 (MAGIC ^ SEED_KEY)
डिवाइस ओपन प्रमाणीकरण	कोई नहीं	WBMF RSA-2048 हस्ताक्षरित PE + Win32StartAddress in-PE
प्रति-अनुरोध प्रमाणीकरण	कोई नहीं	WBCC ब्लॉब + सर्टिफ़िकेट चेन इटरेटर
PID गेट एस्केलेशन	cmd 777 + cmd 775	cmd 777 + cmd 779 + cmd 775
cmd 785 (PPL हैंडल मिंट)	ObOpenObjectByPointer(KernelMode)	समान
cmd 787 (क्रॉस-प्रोसेस रीड)	KeStackAttachProcess बाइट कॉपी	समान
cmd 800 (हैंडल स्टॉम्प किल)	KeStackAttachProcess + ObSetHandleAttributes(KernelMode) + ZwClose	समान
cmd 820 (कर्नेल इंजेक्शन)	RWX alloc + copy + RtlCreateUserThread (सभी ring 0)	समान

सहोदर संदर्भ

• CVE-2026-3609 — xhunter1.sys v10.0.10011.16384 से v2023.12.7.78 तक (लेख, लेगेसी PoC CredsHunter पर)।

लाइसेंस

MIT। देखें LICENSE।