SandboxBootkit

Bootkit testato su Windows Sandbox per applicare una patch a ntoskrnl.exe e disabilitare DSE/PatchGuard. È disponibile un post sul blog che approfondisce l'implementazione.

Per iniziare

• Scarica l'ultima release ed estrai l'archivio
• Esegui Installer.exe
• Avvia Windows Sandbox

Nota: (parti de) la release potrebbero essere rilevate come virus da Windows Defender. Si tratta di un falso positivo, quindi potrebbe essere necessario aggiungere un'esclusione.

Risoluzione dei problemi

Se riscontri problemi nel far funzionare le cose su Windows Sandbox, assicurati di provare con la modalità di sviluppo abilitata (CmDiag DevelopmentMode -On). Su Windows 11 sono state segnalate mancate applicazioni delle modifiche alla sandbox senza di essa.

Bootkit standalone

Puoi eseguire SandbotBootkit.efi anche su hardware reale o su una VM (anche se in tal caso potresti usare EfiGuard). Per farlo, collega un nuovo disco (virtuale) (formattato come FAT32) e copia SandboxBootkit.efi in \EFI\Boot\bootx64.efi. Poi modifica l'ordine di avvio per avviare prima dal nuovo disco. La funzionalità rilevante è implementata nella funzione LoadBootManager.

Sviluppo

• Clona il progetto (con i sottomoduli)
• Usa SandboxBootkit.sln per compilare il progetto
• Guarda il progetto Installer per capire come installare il bootkit

Nota: durante lo sviluppo è più semplice abilitare la modalità di sviluppo. Senza di essa non potrai scrivere nel BaseLayer.