Terminator

• Riproduzione della tecnica di Spyboy, che consiste nel terminare tutti i processi EDR/XDR/AV abusando del driver zam64.sys
• Spyboy vendeva il software Terminator al prezzo di $3,000 per maggiori dettagli
• il campione proviene da loldrivers

utilizzo

• la versione compilata può essere trovata QUI

• Posiziona il driver Terminator.sys nello stesso percorso dell'eseguibile

• esegui il programma come amministratore

• mantieni il programma in esecuzione per impedire al servizio di riavviare gli anti-malware

  

dettagli tecnici

• Il driver contiene un meccanismo di protezione che consente solo a Process ID fidati di inviare IOCTL. Senza aggiungere il tuo process ID alla lista dei fidati, riceverai un messaggio 'Access Denied' ogni volta. Tuttavia, questo può essere facilmente aggirato inviando un IOCTL con il nostro PID per essere aggiunti alla lista dei fidati, il che ci permetterà di controllare numerosi IOCTL critici