voidsyscall

Zero WinAPI. Ogni primitiva NT risolta a runtime da ntdll in memoria — istruzioni SYSCALL emesse direttamente tramite stub assembly Plan9, nessuna import table, nessun hook usermode di ntdll toccato. C2 su HTTPS / DNS / ICMP, AES-256-GCM per messaggio. Windows nativo. Build Linux. Build macOS.

Questa non è una libreria wrapper di syscall. È un framework implant completo dove ogni operazione — dall'iniezione di codice alla lettura di file alla persistenza nel registro — passa attraverso syscall Nt* grezze risolte al boot dalla tabella export di ntdll corrente. Nessuna chiamata WinAPI esiste nel binario. Nulla che un EDR possa hookare a usermode.

Cosa c'è dentro

Motore syscall

• Risoluzione SSN a runtime: PEB → LDR → base ntdll → tabella export PE → match hash djb2 → scansione prologo per B8 xx xx 00 00 0F 05 (diretto) o 4C 8B D1 B8 xx xx 00 00 0F 05 (Hells Gate). Ogni nome di funzione è hashato a compile time — nessuna stringa in chiaro nel binario.
• Syscall diretta: asm Plan9 (asm_amd64.s) carica l'SSN in EAX, imposta 7 argomenti a mano, esegue SYSCALL. Ritorno via RAX/RDX.
• Syscall indiretta: Individua un gadget 0F 05 C3 (syscall;ret) dentro ntdll, chiama attraverso di esso. Il trap della CPU atterra dentro ntdll — lo stack di chiamata mostra frame ntdll, non frame dell'implant. Nessun hook usermode sopravvive.
• Fingerprint SSN: Dump di tutti gli SSN risolti dalla build ntdll corrente, genera un hash fingerprint. Esporta come hex, importa su un'altra macchina. Rileva mismatch di build prima che ti brucino.
• Unhook: Blocca .text in RWX, copia i byte originali dalla ntdll mappata su disco, ripristina la protezione, flusha la icache, azzera la cache SSN. Ogni hook usermode piazzato da qualsiasi EDR è sparito.

Iniezione — 4 metodi, rotazione polimorfica

L'agente ruota automaticamente tra le tecniche di iniezione. Ogni chiamata usa un metodo diverso — due iniezioni non si assomigliano mai in forensics.

Anti-analisi — 13+ metodi di rilevamento

Esegue tutti i check, restituisce un report di minaccia con punteggio. Auto-distruzione su Critical.

Operazioni token

Tutto via syscall Nt*, nessuna WinAPI.

• EnablePrivilege(index) — imposta qualsiasi privilegio tramite LUID
• EnableAllTokenPrivileges() — 20 privilegi in una volta (Debug, Impersonate, TCB, Backup, Restore, ecc.)
• GetProcessTokenIntegrityLevel() — interroga integrità obbligatoria
• StealProcessToken(pid) — apri + duplica token di un altro processo
• ImpersonateThread() / RevertToSelf()

Operazioni VAD

• EnumVirtualMemory() — percorre tutte le regioni virtuali via NtQueryVirtualMemory
• FindWritableExecRegions() — trova regioni committed PAGE_EXECUTE_READWRITE
• HideRegion() — imposta PAGE_NOACCESS per nascondere memoria dagli scanner
• UnhideRegion() — ripristina la protezione originale

File I/O — tutte syscall Nt*

NtCreateFile → NtReadFile / NtWriteFile → NtClose. Zero chiamate CreateFileA, ReadFile, WriteFile, o DeleteFileW. ReadFileContents(), WriteFileContents(), DeleteFileNt(), FileExists().

Persistenza registro — tutte syscall Nt*

NtCreateKey → NtSetValueKey. AddRunKeyPersistence(), RemoveRunKeyPersistence(). Nessuna RegCreateKeyEx, RegSetValueEx, o qualsiasi chiamata Advapi32.

Operazioni handle

• EnumerateSystemHandles() — tutti gli handle aperti nel sistema via NtQuerySystemInformation(SystemHandleInformation)
• FindEDRHandles() — confronta i PID proprietari con 30+ nomi noti di processi EDR (MsSense, CrowdStrike, Sentinel, Cylance, Carbon Black, ecc.)
• CloseEDRHandles() — chiude gli handle di monitoraggio che l'EDR ha piazzato nel tuo processo
• IsProcessMonitored() — check booleano: siamo osservati?

Cifratura memoria

• Vault: Cifrario XOR in-memory con ri-keying automatico su timer. Il plaintext non è mai memorizzato grezzo. Il re-key decifra → genera nuova chiave → ri-cifra. I dump heap forensi tra intervalli di re-key ottengono spazzatura.
• SecureDelete: Wipe a 3 passaggi (random → zeri → uni → zeri) prima di NtFreeVirtualMemory.
• StackEncrypt: Cifra buffer allocati sullo stack prima del return. Il riuso del frame di stack rende la forensics inaffidabile.

Patch AMSI / ETW / evasione

• PatchAMSI() — AmsiScanBuffer → MOV EAX, 0; RET
• PatchETW() — EtwEventWrite → RET
• PatchNtTraceEvent() — NtTraceEvent → RET
• PatchDbgUiRemoteBreakin() — thread breakin → RET
• PatchInstrumentationCallbacks() — ThreadHideFromDebugger

Canali C2

Tutti i canali implementano l'interfaccia Channel. Aggiungere NTP, DoH, o TURN significa implementare l'interfaccia — zero modifiche all'agente.

Crypto

AES-256-GCM per-messaggio AEAD. Nonce unico di 12 byte per messaggio. Keyring per-implant. Derivazione chiave basata su passphrase disponibile. 3 test, tutti passanti.

Layout

voidsyscall/
  syscallwin/          Direct/indirect NT syscalls + evasion
    asm_amd64.s        Syscall/IndirectSyscall/ReadGSBase/SetGSBase/asm_cpuid/asm_rdtsc
    resolve.go         PEB→LDR→ntdll walk, PE export parse, SSN cache, prologue scan
    stubs.go           ~25 Nt* wrappers, DirectSyscall, IndirectSyscallByHash
    hash.go            djb2 hash (string + UTF-16 pointer)
    constants.go       MEM_*, PAGE_*, THREAD_*, TOKEN_*, OBJ_*, REG_*, FILE_*, STATUS_*
    unhook.go          UnhookNtdll, SelfDel
    peb.go             PEB patching (BeingDebugged, NtGlobalFlag, Heap, DebugPort)
    token.go           Privilege escalation, token theft, impersonation
    vad.go             VAD enumeration, hide/unhide regions
    files.go           File I/O via Nt* syscalls
    registry.go        Registry persistence via Nt* syscalls
    fingerprint.go     SSN dump, build fingerprint, hex export/import
    inject_advanced.go 4 injection methods: section mapping, hollow, APC, module stomp
    antianalysis.go    VM/sandbox/debug/timing detection, scored threat report
    handles.go         System handle enumeration, EDR handle killer
    memcrypt.go        Vault (re-keying XOR), SecureDelete, StackEncrypt, WipeMemory
  syscallnix/          Linux/darwin raw syscalls
  patches/             AMSI, ETW, NtTraceEvent, DbgUiRemoteBreakin, InstrumentationCallbacks
  loader/              CreateThread/APC/module-stomp injection
  channels/            HTTP, DNS (TXT), ICMP — Channel interface
  crypto/              AES-256-GCM, envelope, passphrase variant (3 tests)
  server/              SessionManager, Task Queue, interactive REPL
  agent/               Config, beacon loop, 10 task handlers
  cmd/server/main.go   CLI with REPL
  cmd/agent/main.go    Windows-only entrypoint

Build

GOOS=windows GOARCH=amd64 go build -ldflags="-s -w" -o voidsyscall-agent.exe   ./cmd/agent
GOOS=windows GOARCH=amd64 go build -ldflags="-s -w" -o voidsyscall-server.exe  ./cmd/server
GOOS=linux   GOARCH=amd64 go build -ldflags="-s -w" -o server-linux            ./cmd/server
GOOS=darwin  GOARCH=arm64 go build -ldflags="-s -w" -o server-darwin           ./cmd/server

Obfuscation con garble:

GOOS=windows GOARCH=amd64 garble -literals -tiny build -ldflags="-s -w" \
    -o voidsyscall-agent.exe ./cmd/agent

Utilizzo

Server

openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes
./voidsyscall-server.exe --cert cert.pem --key key.pem --https-port 443

Agent

./voidsyscall-agent.exe -c agent/example-config.json

Protocollo task

Interni risoluzione SSN

1. ReadGSBase (asm) → GS:[0x60] → TEB
2. TEB+0x60 → PEB. PEB+0x18 → Ldr
3. Percorri InMemoryOrderModuleList → match ntdll.dll via hash djb2
4. Base → IMAGE_DOS_HEADER → e_lfanew → IMAGE_NT_HEADERS → DataDirectory[0] = Export Table
5. Percorri AddressOfNames[], djb2 ciascuno, match target
6. Risolvi ordinal → AddressOfFunctions[ordinal] → indirizzo funzione
7. Scansiona prologo per B8 xx xx 00 00 0F 05 (diretto), B8 xx xx 00 00 C3 (early-ret), o 4C 8B D1 B8 xx xx 00 00 0F 05 (Hells Gate)

Nessun nome di funzione nel binario. Solo hash djb2. L'istruzione syscall bypassa ogni hook usermode.

Task handler dell'agente

TaskShell       // exec via cmd.exe
TaskInject      // polymorphic: section/hollow/APC/stomp
TaskPatch       // AMSI/ETW/both
TaskEvasion     // PEB patches + VM/sandbox/debug/timing detection
TaskHandles     // enumerate + kill EDR monitoring handles
TaskFingerprint // dump SSN build fingerprint
TaskToken       // privilege escalation + impersonation
TaskVault       // encrypted in-memory storage
TaskSleep       // jitter-aware sleep
TaskExit        // clean shutdown

Stato

Rilasciato: Beacon loop, coda task, 3 canali C2, 4 metodi di iniezione, 10+ check di evasione, enumerazione/chiusura handle, manipolazione token, operazioni VAD, file I/O, persistenza registro, fingerprinting SSN, cifratura memoria, patching AMSI/ETW, crypto AES-GCM, gestione sessioni, REPL interattiva. 3 test crypto passano. go build pulito su Windows.

Non ancora: Agente autonomo Linux (le build esistono, nessuna logica agente), rotazione chiavi di sessione, loader staged, canali NTP/DoH, scheduling persistenza.

Riconoscimenti

• carved4/go-native-syscall
• Enelg52/OffensiveGo
• am0nsec/HellsGate
• f1zm0/acheron
• Sliver C2

Licenza

MIT — LICENSE