Hypervisor Windows Kernel Blue Pill Type-2 in Rust (Nome in codice: Matrix)

Blog: https://memn0ps.github.io/hypervisors-for-memory-introspection-and-reverse-engineering/

Un hypervisor di ricerca di tipo 2 basato su Rust, leggero, memory-safe ed estremamente veloce, con hook per Intel VT-x, focalizzato sullo studio dei concetti fondamentali della virtualizzazione.

Nota: L'hypervisor Illusion (Windows UEFI Blue Pill Type-1 Hypervisor in Rust) è più stabile, supporta più funzionalità ed è complessivamente meglio progettato. L'hypervisor Matrix (Windows Kernel Blue Pill Type-2 Hypervisor in Rust) è una versione più vecchia e sperimentale e non è pensato per l'uso in produzione. Entrambi i progetti servono come modelli per aiutare le persone a iniziare con lo sviluppo di hypervisor in Rust.

Figura 0: Hook delle Extended Page Tables (EPT) (Matrix)

Caratteristiche

• ✅ Extended Page Tables (EPT): Supporto per i Memory Type Range Registers (MTRR).
• ✅ Gestione delle VM Exit: Gestione di ExceptionOrNmi (#GP, #PF, #BP, #UD), Cpuid, Getsec, Vmcall, Vmclear, Vmlaunch, Vmptrld, Vmptrst, Vmresume, Vmxon, Vmxoff Rdmsr, Wrmsr, Invd, Rdtsc, , , , , .

Hardware Supportato

• ✅ Processori Intel con supporto VT-x ed Extended Page Tables (EPT).
• ❌ Processori AMD con supporto AMD-V (SVM) e Nested Page Tables (NPT).

Piattaforme Supportate

• ✅ Windows 10 - Windows 11, solo x64.

Installazione

1. Installa Rust da qui.
2. Passa a Rust Nightly: rustup toolchain install nightly e rustup default nightly.
3. Installa LLVM: winget install LLVM.LLVM.
4. Installa gli strumenti: cargo install cargo-make cargo-expand cargo-edit cargo-workspaces.
5. Installa WDK/SDK/EWDK: passaggi qui.
6. Imposta la variabile d'ambiente WDKContentRoot in modo che punti al percorso di installazione del WDK, se non è stata impostata automaticamente durante l'installazione del WDK:

[System.Environment]::SetEnvironmentVariable("WDKContentRoot", "C:\Program Files (x86)\Windows Kits\10", [System.EnvironmentVariableTarget]::User)

Compilazione del Progetto

• Sviluppo: cargo make --profile development.
• Produzione: cargo make --profile release.

Debugging

Abilitazione delle Modalità di Debug

• Modalità Test: attiva la firma di test con bcdedit.exe /set testsigning on.
• Debugging di Windows: segui i passaggi di questa guida Microsoft.

bcdedit.exe /bootdebug {bootmgr} on
bcdedit.exe /bootdebug on
bcdedit.exe /debug on

Debug di Rete con Windbg

Configurazione: bcdedit.exe /dbgsettings net hostip:w.x.y.z port:n.

Filtro Debug Print

1. Apri regedit.exe.
2. Vai a HKLM\SYSTEM\CurrentControlSet\Control\Session Manager.
3. Crea Debug Print Filter con DWORD DEFAULT = 8.

Debug della Porta Seriale VMware

1. Aggiungi la porta seriale in VMware: 'Use output file'.
2. Configura nella VM Windows: $serialPort = New-Object System.IO.Ports.SerialPort COM2,9600,None,8,One; $serialPort.Open().

Gestione del Servizio

Usa il Service Controller (sc.exe) per creare e gestire il servizio dell'hypervisor:

sc.exe create matrix type= kernel binPath= C:\Windows\System32\drivers\matrix.sys
sc.exe query matrix
sc.exe start matrix

Utilizzo

1. Configurazione per VMware Workstation

   Compila il progetto: segui le istruzioni di compilazione fornite nelle sezioni precedenti per compilare il progetto.

2. Configura VMware Workstation

   Configura la porta seriale VMware per il debug.

Figura 1: Impostazioni della Porta Seriale VMware

Assicurati che "Virtualize Intel VT-x/EPT or AMD-V/RVI" sia abilitata e che "Virtualize IOMMU (IO memory management unit)" sia abilitata.

Figura 2: Impostazioni dei Processori VMware

3. Copia il Driver

   Copia il driver matrix.sys nella directory C:\Windows\System32\drivers.

4. Debug della Porta Seriale VMware

   Esegui lo script PowerShell nella sezione Debug della Porta Seriale per aprire la porta seriale.

5. Carica l'Hypervisor

   Usa lo script PowerShell load.ps1 mostrato nella sezione Gestione del Servizio per creare e avviare il servizio dell'hypervisor.

Figura 3: Caricamento dell'Hypervisor

PoC

Figura 4: Configurazione PoC con Log e Windbg

Figura 5: Esecuzione PoC con Log e Windbg

Ringraziamenti, Riferimenti e Motivazione

Un grande ringraziamento alle fantastiche persone e risorse che hanno contribuito a dare forma a questo progetto. Un ringraziamento speciale a tutti coloro elencati di seguito. Anche se non ho usato tutte queste risorse nel mio lavoro, sono state miniere d'oro di informazioni, estremamente utili per chiunque si immerga nello sviluppo di hypervisor, me compreso.

• Daax (@daaximus): Per la sua eccezionale serie gratuita sullo sviluppo di hypervisor, una delle migliori risorse disponibili, che ha fortemente influenzato il mio lavoro grazie alla sua ricerca approfondita e alle spiegazioni chiare. Il suo supporto e le risposte alle mie domande sono stati preziosi per iniziare con lo sviluppo di hypervisor:

  • 7 Days to Virtualization.
  • MMU Virtualization via Intel EPT.

• Satoshi Tanda (@tandasat): La guida, i progetti e i programmi di formazione strutturati di Satoshi Tanda sono stati incredibilmente utili. Le sue spiegazioni dettagliate e i suoi contributi su GitHub hanno migliorato notevolmente la mia comprensione, rendendolo un grande mentore durante il mio percorso:

  • Hypervisor Development for Security Researchers.
  • Hypervisor 101 in Rust.
  • Progetti aggiuntivi: Hello-VT-rp, DdiMon, HyperPlatform, MiniVisorPkg.

• Jess (@jessiep_): Per il suo inestimabile supporto e la collaborazione in diverse aree di questo progetto, fornendo intuizioni e competenze essenziali, e per le sue rapide risposte alle mie domande.

• Drew (@drew): Per il suo aiuto, la sua guida e le sue rapide risposte alle mie domande su vari aspetti dello sviluppo di hypervisor.

• Sina Karvandi (@Intel80x86): Per la sua dettagliata serie gratuita Hypervisor From Scratch:

  • Tutorial Series.

Risorse della Community e Tecniche

• Secret Club: Approfondimenti sui sistemi anti-cheat e sul rilevamento degli hypervisor, che hanno anch'essi ispirato questo progetto:

  • System emulation detection di @Daax, @iPower, @ajkhoury, @drew.
  • BattlEye hypervisor detection di @vmcall, @Daax.

• Altre Risorse Essenziali:

  • Intel's Software Developer's Manual.
  • Di Maurice Heumann (@momo5502): Detecting Hypervisor-Assisted Hooking.
  • Di Guided Hacking x64 Virtual Address Translation su YouTube.
  • UnKnoWnCheaTs post del forum di @namazso.
  • RVM1.5, Barbervisor, rustyvisor, orange_slice, mythril, uhyve, maystorm.
  • AMD-V Hypervisor Development by Back Engineering, .

Aiutanti e Collaboratori

Un ringraziamento speciale a:

• Daax.
• Satoshi Tanda (@tandasat).
• Drew (@drew).
• iPower (@iPower).
• Namazso (@namazso).
• Jess (@jessiep_).
• Matthias @not-matthias.
• @felix-rs / @joshuа.
• Ryan McCrystal / @rmccrystal.
• Jim Colerick (@vmprotect).

Licenza

Questo progetto è concesso in licenza sotto la MIT License. Per maggiori informazioni, consulta i dettagli della MIT License.