**Non venite qui ad aprire issue su problemi di installazione, crash con bug check 0x109: CRITICAL_STRUCTURE_CORRUPTION o domande su come disabilitare PatchGuard. Vi bannerò permanentemente dal issue tracker. Se non sapete installare correttamente lo strumento, non sapete abbastanza per usarlo in modo responsabile e dovreste usare qualcos'altro come ScyllaHide.

Panoramica

TitanHide è un driver progettato per nascondere i debugger da determinati processi. Il driver aggancia varie funzioni kernel Nt* (usando hook alla tabella SSDT) e modifica i valori di ritorno delle funzioni originali. Per nascondere un processo, è necessario passare al driver una semplice struttura con un ProcessID e le opzioni di occultamento da abilitare. L'API interna è progettata per aggiungere hook con poco sforzo, il che significa che aggiungere funzionalità è davvero semplice.

L'idea per questo progetto è stata pensata insieme a cypher, un saluto!

Funzionalità

• ProcessDebugFlags (NtQueryInformationProcess)
• ProcessDebugPort (NtQueryInformationProcess)
• ProcessDebugObjectHandle (NtQueryInformationProcess)
• DebugObject (NtQueryObject)
• SystemKernelDebuggerInformation (NtQuerySystemInformation)
• SystemDebugControl (NtSystemDebugControl)
• NtClose (eccezioni STATUS_INVALID_HANDLE/STATUS_HANDLE_NOT_CLOSABLE)
• ThreadHideFromDebugger (NtSetInformationThread)
• Protect DRx (HW BPs) (NtGetContextThread/NtSetContextThread)

Ambienti di test

• Windows 10 x64 & x86
• Windows 8.1 x64 & x86
• Windows 7 x64 & x86 (SP1)
• Windows XP x86 (SP3)
• Windows XP x64 (SP1)

Compilazione

1. Installare Visual Studio 2022.
2. Installare il WDK10/WDK8/WDK7.
3. Aprire TitanHide.sln e compilare!

Requisiti

È necessario disabilitare PatchGuard e l'enforcement della firma dei driver (DSE) prima di usare questo driver.

Per disabilitare PatchGuard potete provare uno dei seguenti progetti:

• EfiGuard
• SandboxBootkit
• Shark
• UPGDSED (archiviato nel 2019)

Per caricare il driver potete abilitare il test signing:

bcdedit /set testsigning on

Installazione

1. Copiare TitanHide.sys in %systemroot%\system32\drivers.
2. Eseguire il comando sc create TitanHide binPath= %systemroot%\system32\drivers\TitanHide.sys type= kernel per creare il servizio TitanHide.
3. Eseguire il comando sc start TitanHide per avviare il servizio TitanHide.
4. Eseguire il comando sc query TitanHide per verificare se TitanHide è in esecuzione.

Per verificare se TitanHide funziona correttamente, usate DebugView o controllate C:\TitanHide.log.

Occultamento

Per VMProtect 3.9.4 e versioni successive è necessario cambiare il nome del servizio in qualcos'altro. Ad esempio sc create NotTitanHide, che aggirerà la loro ultima 'rilevazione'. Dopo aver cambiato il nome del servizio dovrete configurare il plugin con il seguente comando in x64dbg:

TitanHideName NotTitanHide

Note

• Quando usate x64dbg, potete usare il plugin TitanHide (disponibile nella pagina di download).
• NON ESEGUITE MAI QUESTO DRIVER SU UN SISTEMA DI PRODUZIONE, USATE SEMPRE UNA VM!