VectorKernel

カーネルモードルートキット技術の研究または教育のためのPoCです。現在はWindows OSに焦点を当てています。すべてのモジュールはx64ファミリの64ビットOSのみをサポートしています。

環境

すべてのモジュールはWindows 11 x64でテストされています。ドライバをテストするには、テスト用マシンで以下のオプションを使用できます。

各オプションでは、セキュアブートを無効にする必要があります。

詳細情報は各プロジェクトのディレクトリにあるREADME.mdに記載されています。すべてのモジュールはWindows 11でテストされています。

モジュール名	説明
BlockImageLoad	Load Image Notify Callbackメソッドを使用してドライバの読み込みをブロックするPoC。
BlockNewProc	Process Notify Callbackメソッドを使用して新しいプロセスをブロックするPoC。
CreateToken	`ZwCreateToken()` APIを使用して完全な特権を持つSYSTEMトークンを取得するPoC。
DropProcAccess	Object Notify Callbackを使用してプロセスハンドルアクセスを削除するPoC。
ElevateHandle	DKOMメソッドを使用してハンドルアクセスを昇格するPoC。
FileDirHide	ファイル/ディレクトリを隠蔽するPoC。
GetFullPrivs	DKOMメソッドを使用して完全な特権を取得するPoC。
GetKeyStroke	カーネルドライバでキーボード操作をログ記録するPoC。
GetProcHandle	カーネルモードからフルアクセスプロセスハンドルを取得するPoC。
InjectLibrary	Kernel APC Injectionメソッドを使用してDLLインジェクションを実行するPoC。
MemRead	任意のプロセスメモリを読み取るPoC。
ModHide	DKOMメソッドを使用してロードされたカーネルドライバを隠蔽するPoC。

今後、特に以下の機能に関するPoCが追加される予定です。