Hidden 🇺🇦

Hidden è stato sviluppato come soluzione per attività di reverse engineering e ricerca. Si tratta di un driver Windows con interfaccia utente utilizzato per nascondere ambienti specifici sulla tua macchina Windows, come programmi RCE installati (es. procmon, wireshark), infrastruttura VM (es. VMWare Tools) e così via.

Caratteristiche

• nascondere chiavi e valori del registro
• nascondere file e directory
• nascondere processi (sperimentale, potrebbe non essere stabile)
• proteggere processi specifici
• escludere processi specifici dalle funzionalità di occultamento e protezione
• interfaccia utente (libreria e cli) per lavorare con un driver

e così via

Requisiti di sistema

Windows Vista e successivi, x86 e x64

Ambiente di build consigliato

• Visual Studio 2019
• Windows Driver Kit 10

Compilazione

La seguente guida spiega come effettuare una build win32 di rilascio

1. Aprire Hidden.sln con Visual Studio
2. Compilare il progetto Hidden Package con le configurazioni Release, Win32
3. Aprire la cartella dei risultati di compilazione <ProjectDir>\Release

Installazione

1. Disabilitare l'applicazione della firma digitale su una macchina di test (bcdedit /set TESTSIGNING ON) e riavviarla
2. Copiare i file da <ProjectDir>\Release\Hidden Package su una macchina di test
3. Fare clic con il tasto destro del mouse su Hidden.inf e scegliere Installa
4. Avviare il driver (sc start hidden)
5. Assicurarsi che il servizio sia in esecuzione (sc query hidden)

Importante: tenere presente che l'architettura del driver deve corrispondere a quella del sistema operativo

Occultamento

Uno strumento a riga di comando hiddencli viene utilizzato per gestire un driver. È possibile utilizzarlo per nascondere e mostrare oggetti, cambiare lo stato del driver e così via.

Per nascondere un file provare il comando

hiddencli /hide file c:\Windows\System32\calc.exe

Vuoi nascondere una directory? Nessun problema

hiddencli /hide dir "c:\Program Files\VMWare"

Chiave di registro?

hiddencli /hide regkey "HKCU\Software\VMware, Inc."

Forse un processo?

hiddencli /hide pid 2340

Per nome immagine del processo?

hiddencli /hide image apply:forall c:\Windows\Explorer.EXE

Per ottenere un aiuto completo basta digitare

hiddencli /help