AxHunter

PoC per la famiglia di driver xhunter dell'anti-cheat Wellbia XIGNCODE3 — xhunter1.sys v2023.12.7.78 (CVE-2026-3609) e xhunter2.sys v2026.6.1.192 (CVE-2026-15430).

Struttura del workspace

Workspace Cargo, tre crate:

AxHunter/
├── Cargo.toml               workspace manifest
├── axhunter-lsa/            shared crate — driver-agnostic LSA extraction (MemReader trait,
│                              LDR walk, BCrypt 3DES key extraction, LogonSessionList,
│                              WDigest). Consumed by both PoCs.
├── axhunter_v1/             xhunter1.sys v2023.12.7.78  (CVE-2026-3609)
└── axhunter_v2/             xhunter2.sys v2026.6.1.192  (CVE-2026-15430)

Ogni crate PoC contiene il proprio binario del driver di destinazione (xhunter1.sys, xhunter2.sys) e — in axhunter_v2/src/ — il modulo WBMF di Wellbia (wbmf_module.dll) estratto da un processo WindSlayer.exe attivo.

Compilazione

Dalla radice del workspace:

cargo build --release              # builds both binaries + shared crate
cargo build --release -p AxHunter_v1
cargo build --release -p AxHunter_v2

Entrambi i binari vengono generati in target/release/:

target/release/AxHunter_v1.exe
target/release/AxHunter_v2.exe

CLI unificata

Entrambi i binari condividono gli stessi flag:

AxHunter_v1.exe -m {dump|kill|lpe|inject|all} [-t <pid|image>] [-d <device>] [-p <payload.bin>]
AxHunter_v2.exe -m {dump|kill|lpe|inject|all} [-t <pid|image>] [-d <device>] [-p <payload.bin>]

Consultare il README di ciascun crate per i valori predefiniti specifici del driver e i dettagli delle modalità.

Approfondimenti correlati

• Hunting the Hunter — xhunter1.sys v2023.12.7.78. Corrisponde a axhunter_v1/.
• Hunting the Hunter II — xhunter2.sys v2026.6.1.192. Corrisponde a axhunter_v2/.

Confronto

Proprietà	xhunter1.sys v2023.12.7.78	xhunter2.sys v2026.6.1.192
CVE	CVE-2026-3609	CVE-2026-15430
Trasporto	IRP_MJ_WRITE, frame in chiaro da 624 byte	IRP_MJ_WRITE, frame da 1184 byte cifrato con LCG-XOR
Magic del frame	0x345821AB	0x70506202 (MAGIC ^ SEED_KEY)
Autenticazione all'apertura del device	Nessuna	PE firmato RSA-2048 WBMF + Win32StartAddress nel PE
Autenticazione per richiesta	Nessuna	Blob WBCC + iteratore della catena di certificati
Escalation del gate PID	cmd 777 + cmd 775	cmd 777 + cmd 779 + cmd 775
cmd 785 (creazione handle PPL)	ObOpenObjectByPointer(KernelMode)	identico
cmd 787 (lettura cross-process)	copia di byte tramite KeStackAttachProcess	identico
cmd 800 (kill tramite handle stomp)	KeStackAttachProcess + ObSetHandleAttributes(KernelMode) + ZwClose	identico
cmd 820 (iniezione kernel)	allocazione RWX + copia + RtlCreateUserThread (tutto in ring 0)	identico

Riferimento correlato

• CVE-2026-3609 — xhunter1.sys dalla v10.0.10011.16384 alla v2023.12.7.78 (write-up, PoC legacy su CredsHunter).

Licenza

MIT. Vedere LICENSE.