AxHunter

Wellbia XIGNCODE3 アンチチート xhunter ドライバファミリーに対する PoC — xhunter1.sys v2023.12.7.78（CVE-2026-3609）および xhunter2.sys v2026.6.1.192（CVE-2026-15430）。

ワークスペース構成

Cargo ワークスペース、3 つのクレート：

AxHunter/
├── Cargo.toml               workspace manifest
├── axhunter-lsa/            shared crate — driver-agnostic LSA extraction (MemReader trait,
│                              LDR walk, BCrypt 3DES key extraction, LogonSessionList,
│                              WDigest). Consumed by both PoCs.
├── axhunter_v1/             xhunter1.sys v2023.12.7.78  (CVE-2026-3609)
└── axhunter_v2/             xhunter2.sys v2026.6.1.192  (CVE-2026-15430)

各 PoC クレートはそれぞれ対象ドライバのバイナリ（xhunter1.sys、xhunter2.sys）を保持し、さらに axhunter_v2/src/ には、稼働中の WindSlayer.exe プロセスから抽出した Wellbia の WBMF モジュール（wbmf_module.dll）を保持しています。

ビルド

ワークスペースのルートから：

cargo build --release              # builds both binaries + shared crate
cargo build --release -p AxHunter_v1
cargo build --release -p AxHunter_v2

両バイナリは target/release/ に出力されます：

target/release/AxHunter_v1.exe
target/release/AxHunter_v2.exe

統合 CLI

両バイナリは同じフラグを共有します：

AxHunter_v1.exe -m {dump|kill|lpe|inject|all} [-t <pid|image>] [-d <device>] [-p <payload.bin>]
AxHunter_v2.exe -m {dump|kill|lpe|inject|all} [-t <pid|image>] [-d <device>] [-p <payload.bin>]

ドライバ固有のデフォルト値とモードの詳細については、各クレートの README を参照してください。

関連記事

• Hunting the Hunter — xhunter1.sys v2023.12.7.78。axhunter_v1/ に対応。
• Hunting the Hunter II — xhunter2.sys v2026.6.1.192。axhunter_v2/ に対応。

比較

項目	xhunter1.sys v2023.12.7.78	xhunter2.sys v2026.6.1.192
CVE	CVE-2026-3609	CVE-2026-15430
トランスポート	IRP_MJ_WRITE、624 バイトの平文フレーム	IRP_MJ_WRITE、1184 バイトの LCG-XOR 暗号化フレーム
フレームマジック	0x345821AB	0x70506202（MAGIC ^ SEED_KEY）
デバイスオープン認証	なし	WBMF RSA-2048 署名付き PE + PE 内の Win32StartAddress
リクエストごとの認証	なし	WBCC blob + 証明書チェーンイテレータ
PID ゲート昇格	cmd 777 + cmd 775	cmd 777 + cmd 779 + cmd 775
cmd 785（PPL ハンドル生成）	ObOpenObjectByPointer(KernelMode)	同一
cmd 787（クロスプロセス読み取り）	KeStackAttachProcess によるバイトコピー	同一
cmd 800（ハンドルスタンプキル）	KeStackAttachProcess + ObSetHandleAttributes(KernelMode) + ZwClose	同一
cmd 820（カーネルインジェクション）	RWX 割り当て + コピー + RtlCreateUserThread（すべてリング 0）	同一

関連リファレンス

• CVE-2026-3609 — xhunter1.sys v10.0.10011.16384 から v2023.12.7.78 まで（解説記事、レガシー PoC は CredsHunter）。

ライセンス

MIT。LICENSE を参照してください。