stealth_call

यह क्या है?

Windows x64 के लिए header-only लाइब्रेरी जो आपको ntdll imports को छुए बिना, अपने binary में strings छोड़े बिना, और उन सामान्य red flags के बिना किसी भी NT syscall को invoke करने देती है जो EDRs को परेशान कर देते हैं।

कोई CRT नहीं। कोई STL नहीं। कोई IAT नहीं। पूरी चीज़ ~19KB में compile होती है जिसमें literally zero DLL dependencies होती हैं।

मौजूदा syscall लाइब्रेरियों की सामान्य कमियों से बचने के लिए बनाई गई है — plaintext strings, known hash constants, non-ntdll memory से direct syscall, IAT imports जो चिल्लाते हैं "मैं कुछ अजीब कर रहा हूँ", SEC_NO_CHANGE IOC, CRT bloat। यहाँ इनमें से कुछ भी नहीं है।

विशेषताएँ

Syscall Engine

• Indirect syscalls — stubs ntdll के अपने syscall; ret gadget में jump करते हैं, इसलिए syscall instruction fire होने पर RIP हमेशा ntdll के अंदर होता है
• Per-call stub generation — हर एक invocation random junk, random layout, XOR'd syscall number के साथ एक नया stub बनाता है। कुछ भी reuse नहीं होता
• W^X enforcement — scratch pages RW → RX → RW जाती हैं। RWX कभी allocate नहीं होता, period
• Stubs हर call के तुरंत बाद wipe कर दिए जाते हैं
• Syscalls \KnownDlls\ntdll.dll section mapping से extract किए जाते हैं (कोई filesystem access नहीं, ProcMon के लिए invisible)
• Typical Win11 system पर 977 syscalls resolve होते हैं

Anti-Breakpoint

• VEH-based approach — अगर debugger आपके target function पर 0xCC डालता है, तो exception handler silently original byte को restore करता है, single-step के तहत instruction execute करता है, फिर breakpoint को वापस रख देता है। Debugger को कभी पता नहीं चलता कि इसे bypass किया गया। Zero timing window
• किसी भी DLL के किसी भी function पर काम करता है, सिर्फ ntdll पर नहीं

Evasion

• AMSI bypass — AmsiScanBuffer को S_OK return करने के लिए patch करता है
• ETW bypass — EtwEventWrite को SUCCESS return करने के लिए patch करता है
• सारी patching direct syscalls के माध्यम से होती है, VirtualProtect से नहीं
• XOR-encrypted strings हर जगह — DLL names, paths, सब कुछ। Stack पर decrypt होते हैं, use के बाद wipe हो जाते हैं
• Custom hash algorithm (FNV-1a नहीं, CRC32 नहीं — कोई known YARA signatures नहीं)
• सभी module/function resolution के लिए PEB walk — कोई GetModuleHandle नहीं, कोई GetProcAddress नहीं

Code Quality

• Header-only, stealth/ folder को अपने project में डालें और चलें
• Per-thread scratch pages + spinlocks के माध्यम से thread-safe
• Shutdown पर पूरी cleanup — scratch pages free, maps zeroed, VEH removed
• Common EDR trampolines के लिए hook detection (jmp rel32, jmp [rip], mov rax + jmp rax)

यह कैसे काम करता है

Syscall Path

1. initialize() \KnownDlls section के माध्यम से ntdll खोलता है, PE exports parse करता है, हर syscall number पकड़ता है
2. ntdll .text में syscall; ret gadget के लिए scan करता है — यहीं से actual syscall instruction execute होगा
3. जब आप sc::invoke() call करते हैं:
   • Syscall entry को hash द्वारा lookup करता है
   • Calling thread का scratch page पकड़ता है (या allocate करता है, केवल RW)
   • emit_stub() एक unique polymorphic stub बनाता है — random junk instructions पहले/बाद में, per-call key के साथ XOR-obfuscated syscall number, ntdll gadget के लिए indirect jmp
   • Page को RW → RX flip करता है
   • Stub के माध्यम से call करता है
   • RX → RW वापस flip करता है
   • Stub bytes को zero कर देता है

किसी भी बिंदु पर RWX memory मौजूद नहीं होती। किसी भी बिंदु पर syscall instruction ntdll के बाहर execute नहीं होता। किसी भी बिंदु पर syscall numbers plaintext में store नहीं होते।

VEH Trampoline

आप target function के साथ tramp::invoke() call करते हैं। अगर कोई breakpoint नहीं है — function बिना किसी overhead के सामान्य रूप से चलता है। अगर debugger ने 0xCC रखा है:

1. INT3 exception fire होता है
2. हमारा VEH handler check करता है कि address हमारी table में है या नहीं (hash lookup, linear scan नहीं)
3. Disk से पढ़ी गई clean copy से original byte restore करता है
4. Trap Flag set करता है
5. Execution continue होता है — real instruction चलता है
6. Single-step exception fire होता है
7. Handler 0xCC वापस रख देता है

Debugger की breakpoint list अभी भी इसे active दिखाती है। Breakpoint हमारे calls पर कभी trigger नहीं होता।

Build

cmake -B build -A x64
cmake --build build --config Release

MSVC (VS 2019+) और CMake 3.15+ चाहिए। Output ~19KB है जिसमें zero imports हैं।

उपयोग

Syscalls

#include "stealth/syscall.hpp"

stealth::sc::initialize();

PVOID base = nullptr;
SIZE_T size = 0x1000;
NTSTATUS status = stealth::sc::invoke<NTSTATUS>(
    HASH("NtAllocateVirtualMemory"),
    NtCurrentProcess(), &base, (ULONG_PTR)0, &size,
    (ULONG)(MEM_COMMIT | MEM_RESERVE), (ULONG)PAGE_READWRITE
);

Anti-Breakpoint

#include "stealth/trampoline.hpp"

// तब भी काम करता है जब x64dbg पर MessageBoxA पर BP हो
int ret = stealth::tramp::invoke<int>(
    HASH_CI("user32.dll"), HASH("MessageBoxA"),
    (HWND)nullptr, (LPCSTR)"hello", (LPCSTR)"title", (UINT)MB_OK
);

AMSI / ETW

#include "stealth/bypass.hpp"

stealth::bypass::patch_etw();
stealth::bypass::patch_amsi();

Cleanup

stealth::tramp::shutdown();
stealth::sc::shutdown();

Project Structure

stealth/
  common.hpp      — memory ops, spinlock, static_map, PRNG, debug output
  hash.hpp        — compile-time custom hash
  xorstr.hpp      — compile-time XOR string encryption
  peb.hpp         — PEB walk, PE export parser, hook detection
  syscall.hpp     — indirect syscall engine, stub generator, W^X, anti-dump
  trampoline.hpp  — VEH-based anti-breakpoint
  bypass.hpp      — AMSI + ETW patching

License

MIT — इसके साथ जो चाहें करें।