deathshotxd/0xm0ncrush# कर्नेल-मोड प्रोसेस टर्मिनेटर, हस्ताक्षरित BYOVD ड्राइवर का उपयोग करके। सभी Windows 10/11 पर काम करता है। कोई ऑफसेट नहीं, कोई PDB नहीं। Rust।
एक क्रॉस-वर्ज़न Windows प्रोसेस टर्मिनेटर। यह एक साइन किए गए HONOR
kernel driver (MonProcessEX.sys) को लोड करता है, हर टारगेट
प्रोसेस का PID रिज़ॉल्व करता है, और एक ही IOCTL के ज़रिए kernel context से उसे टर्मिनेट करता है।
कोई kernel offsets नहीं, कोई PDB डाउनलोड नहीं, कोई build-specific shellcode नहीं - यह
तकनीक हर Windows 10 और Windows 11 build पर एक समान काम करती है।
यह टूल एक ही self-contained executable है। यह Service Control Manager के ज़रिए driver इंस्टॉल करता है, kill करता है, फिर service को रोककर और डिलीट करके, पीछे कोई persistent artifact नहीं छोड़ता। टारगेट्स को runtime पर config file, command line, या built-in defaults के ज़रिए कॉन्फ़िगर किया जा सकता है।
डिज़ाइन से ही क्रॉस-वर्ज़न। एक driver, एक IOCTL, एक kill primitive। सभी Windows 10 और Windows 11 builds पर काम करता है।
1. Keep moncrush.exe and MonProcessEX.sys in the same folder.
2. Run from an elevated shell.
moncrush.exe -n "notepad.exe,calc.exe"
3. Targets die. Driver unloads itself. Done.
कोई toolchain नहीं, कोई offsets नहीं, कोई build step नहीं।
| विशेषता | विवरण |
|---|---|
| क्रॉस-वर्ज़न | सभी Windows 10 और Windows 11 builds पर काम करता है, कोई offsets नहीं |
| Kernel-mode kill | Driver kernel context से PID को टर्मिनेट करता है |
| PPL bypass | MonProcessEX.sys kill path protected-process checks को bypass करता है |
| साइन किया गया driver | MonProcessEX.sys एक असली साइन किया गया HONOR driver है |
| MS block rules में नहीं | Microsoft के vulnerable-driver block rules में मौजूद नहीं |
| Self-sufficient | Driver SCM के ज़रिए इंस्टॉल, स्टार्ट और क्लीनअप होता है |
| शून्य निर्भरताएँ | Static Rust binary; exe + driver डालें, चलाएँ |
| कॉन्फ़िगर करने योग्य | targets.conf या -n, recompile की ज़रूरत नहीं |
| Obfuscated | Device path और target list at rest एन्क्रिप्टेड |
| एकल executable | एक binary; shell से console output, double-click पर silent |
| Dry-run mode | Commit करने से पहले targets और PIDs की गणना करें |
| Jittered loop | --repeat randomized interval के साथ फिर से जाँचता है |
| Exit codes + JSON | C2-friendly automation interface |
+-------------------------------------------------------------------------------------------+
| USER MODE |
| |
| moncrush.exe |
| |
| +-------------------+ +-------------------+ +---------------------+ |
| | enumerate all | | resolve target | | match against | |
| | running | -> | PID via process | -> | target list, | |
| | processes | | entry | | collect PIDs | |
| +-------------------+ +-------------------+ +----------+----------+ |
| | |
| CreateFileW("\.\MonProcessEX") | |
| DeviceIoControl(IOCTL 0x22400C) | |
| output = termination status v |
+-------------------------------------------------------------------------------------------+
| KERNEL MODE |
| |
| MonProcessEX.sys signed HONOR kernel driver |
| +---------------------------------------------------------------------------------+ |
| | | |
| | IOCTL 0x22400C -> PID termination dispatch | |
| | | | |
| | | kernel-mode process lookup | |
| | v | |
| | EPROCESS located -> terminated from kernel context | |
| | | | |
| | v | |
| | process exit path invoked | |
| | | |
| +---------------------------------------------------------------------------------+ |
| |
| CLEANUP |
| +---------------------------------------------------------------------------------+ |
| | SCM service stopped and deleted | |
| | driver unloaded, no persistent artifact | |
| +---------------------------------------------------------------------------------+ |
+-------------------------------------------------------------------------------------------+
Driver एक kill IOCTL उजागर करता है जो PID दिए जाने पर एक प्रोसेस को टर्मिनेट करता है। User-mode component चल रहे प्रोसेस की गणना करता है, हर टारगेट का PID रिज़ॉल्व करता है, और उसे device interface के ज़रिए सबमिट करता है। User mode से कोई kernel structure छुई नहीं जाती, इसलिए यह तकनीक Windows version परिवर्तनों से अप्रभावित रहती है।
cargo build --release --target x86_64-pc-windows-gnu
Release profile LTO और एक single codegen unit सक्षम करता है। प्रोजेक्ट
अपने [workspace] declaration के साथ self-contained है।
moncrush.exe [options]
-s, --silent suppress all console output
-r, --repeat keep running, re-check targets
-d, --dry-run enumerate targets without killing
-j, --json machine-readable JSON output
-l, --list print target names and exit
-v, --version print version and exit
-x, --self-destruct delete self after successful run
--no-check skip VM and debugger checks
--delay <ms> sleep before executing
--jitter <ms> randomize repeat interval
--max-attempts <n> stop after n kill passes (0=infinite)
--svc <name> custom service name
--driver <path> custom driver file path
-n, --names <csv> comma-separated target list override
-c, --config <path> load targets from config file
-h, --help show this help