shadow-rs 🦀

shadow-rs è un rootkit del kernel di Windows scritto in Rust, che dimostra tecniche avanzate di manipolazione del kernel sfruttando le funzionalità di sicurezza e prestazioni di Rust. Questo progetto è destinato a scopi educativi e di ricerca.

Indice

• Avviso
• Funzionalità
• Installazione
• Piattaforme supportate
• Istruzioni di compilazione
  • Driver
  • Client
• Istruzioni di configurazione
  • Abilita modalità test
  • Debug con Windbg
  • Crea/Avvia servizio
• Disclaimer
• Come contribuire a shadow-rs
• Riferimenti
• Licenza
• Contributori

Avviso

[!IMPORTANT]
Questo progetto è in fase di sviluppo.

Funzionalità

Processo

• ✅ Nascondi e mostra processi.
• ✅ Modifica i livelli di firma dei processi per gestire Protected Processes (PP) e Protected Process Light (PPL).
• ✅ Proteggi i processi da terminazione e dump della memoria.
• ✅ Eleva i privilegi dei processi a SYSTEM, garantendo accesso amministrativo completo.
• ✅ Termina i processi target.
• ✅ Elenca tutti i processi protetti e nascosti.

Thread

• ✅ Nascondi e mostra thread.
• ✅ Proteggi i thread da terminazione o sospensione.
• ✅ Elenca tutti i thread protetti e nascosti

Driver

• ✅ Nascondi e mostra driver in modalità kernel.
• ✅ Elenca tutti i driver caricati.
• ✅ Abilita o disabilita Driver Signature Enforcement (DSE) per consentire il caricamento di driver non firmati.
• ✅ Blocca il caricamento dei driver.

Callback

• ✅ Elenca i callback registrati per la creazione di processi, la creazione di thread, il caricamento di immagini e le operazioni di registro.
• ✅ Rimuovi o ripristina callback specifici.
• ✅ Elenca tutti i callback rimossi.

Varie

• ✅ Cattura la pressione dei tasti in tempo reale tramite intercettazione a livello di kernel.
• ✅ Disabilita Microsoft-Windows-Threat-Intelligence (EtwTi).
• ✅ Pulizia degli artefatti dei driver dai dump di memoria in caso di BSOD.
• ✅ Compila stringhe cifrate.
• ✅ Supporto per il caricamento riflesso dei driver.

Esecuzione di codice in modalità utente

• ✅ Inietta shellcode o DLL nei processi utilizzando ZwCreateThreadEx.
• ✅ Iniezione Asynchronous Procedure Call (APC) per eseguire shellcode o DLL in thread alertable.
• ✅ Esegui shellcode nei processi utilizzando Thread Hijacking.

Modulo

• ✅ Nascondi moduli dagli elenchi di memoria dei processi.
• ✅ Elenca tutti i moduli caricati.

Registry

• ✅ Nascondi e mostra chiavi e valori di registro per prevenire rilevamento e manipolazione.
• ✅ Applica protezione al registro per impedire l'eliminazione o la sovrascrittura di chiavi o valori.

Rete

• ✅ Nascondi e mostra porte di rete da netstat e strumenti di monitoraggio simili.

Installazione

• Installa Rust da qui.
• Segui la guida di Microsoft per configurare Rust per lo sviluppo di driver kernel.

Piattaforme supportate

• ✅ Windows 10 / 11 (solo x64)

Istruzioni di compilazione

Driver

Vai nella directory driver e compila il driver kernel:

cargo make default --release

[!IMPORTANT]
Nota: la prima compilazione deve essere eseguita come amministratore. Le compilazioni successive non richiedono privilegi elevati.

Per abilitare il supporto al mapping per strumenti come kdmapper, compila con:

cargo make default --release --features mapper

Client

Vai nella directory client e compila il client in modalità utente:

cargo build --release

Per la compatibilità con driver mappati:

cargo build --release --features mapper

Istruzioni di configurazione

Abilita modalità test o modalità firma test

bcdedit /set testsigning on

Crea / Avvia servizio

Puoi usare Service Control Manager o OSR Driver Loader per caricare il tuo driver.

Debug

Usa Windbg per collegarti al kernel e monitorare l'attività del driver.

bcdedit /debug on
bcdedit /dbgsettings net hostip:<IP> port:<PORT>

Come contribuire a shadow-rs

Per contribuire a shadow-rs, segui questi passaggi:

1. Fai una fork di questo repository.
2. Crea un branch: git checkout -b <branch_name>.
3. Apporta le tue modifiche e confermale: git commit -m '<commit_message>'.
4. Invia al branch originale: git push origin <project_name> / <local>.
5. Crea la pull request.

In alternativa, consulta la documentazione GitHub su come creare una pull request.

Disclaimer

Questo progetto è destinato a scopi educativi e di ricerca. L'uso malevolo del software è severamente proibito e scoraggiato. Non sono responsabile per eventuali danni causati da un uso improprio del software.

Riferimenti

Voglio esprimere la mia gratitudine a questi progetti che mi hanno ispirato a creare shadow-rs e a contribuire con alcune funzionalità:

• Hidden
• Nidhogg
• eagle-rs
• Banshee
• ReadWriteDriverSample

Altre risorse essenziali:

Questi materiali e ricerche sono stati preziosi per approfondire la mia comprensione dello sviluppo del kernel Windows:

• UnKnoWnCheaTs
• Reactos
• Blinding EDR On Windows
• Windows Kernel Programming - Pavel
• Rootkit Arsenal Escape Evasion Corners
• Rootkits Subverting Windows Greg Hoglund
• Rootkits Bootkits Reversing Malware Generation
• Memory Forensics
• Leveraging Rootkits for Post-Exploitation - Black Hat

Licenza

Questo progetto è concesso in licenza sotto la MIT License. Vedi il file LICENSE per i dettagli.

Contributori