Driver DLL Injector

Driver DLL Injector Descrizione

Driver DLL Injector è un potente strumento che consente agli utenti di caricare i driver di loro scelta utilizzando il mapper preferito. Sfruttando le capacità di un caricatore di driver non firmato, come KDmapper, questo injector è stato creato e testato su processi Windows 10 2004 x64

Parte Driver:

Il driver aggancia una funzione sicura per Patch Guard, nota come xKdEnumerateDebuggingDevices, per la comunicazione con il nostro processo in usermode. Questo metodo è altamente rilevato dai popolari anti-cheat, quindi facciamo un passo avanti e intrappoliamo un thread in usermode nel kernel per comunicare ripristinando l'indirizzo della funzione originale, bypassando così i controlli di integrità delle funzioni.

Il driver fa quanto segue per nascondere le tracce lasciate:

• Manipolazione VAD: il driver alloca strategicamente memoria dietro lo "stack del thread" sfruttando funzioni non documentate dei Virtual Address Descriptor (VAD) come MiInsertChange e MiAllocVad, che non sono molto conosciute. Una volta che il VAD è allocato e la DLL è stata caricata con successo, il driver rimuove il VAD dall'albero VAD.

• Manipolazione PTE: per bypassare i controlli di NtQueryVirtualMemory, il driver manipola le Page Table Entries (PTE) per rendere eseguibili le pagine allocate dal VAD. Modificando le PTE, il driver garantisce che il VAD non venga aggiornato con il bit eseguibile (X) abilitato, aggirando potenziali restrizioni.

• Pulizia di PiDDBCacheTable, MmUnloadedDrivers (Hash Bucket List).

• A seconda del manual mapper che usi per il driver, dovrai tenere conto anche dei big pool.

Parte Usermode:

Il processo usermode utilizza l'overlay di Discord per chiamare la funzione main della nostra DLL.

Il processo usermode fa quanto segue: