Nidhogg

Logo

Nidhogg は、カーネル空間で実行できるさまざまな操作を紹介する多機能ルートキットです。Nidhogg の目標は、操作に役立つ多機能で使いやすいオールインワンのルートキットを提供することです。さらに、C2 フレームワークと簡単に統合することもできます。

Nidhogg は、x64 版 Windows 10 および Windows 11 のすべてのバージョンで動作します。

このリポジトリには、カーネルドライバと、それと通信するための C++ プログラムが含まれています。

詳細については、wiki をご覧ください。

現在の機能

[!IMPORTANT]
すべての機能は Windows 11 25H2 まで完全にテストされています。問題が発生した場合は、既存の Issue がないことを確認してから新しい Issue を開いてください。

プロセスの隠蔽および表示
プロセスの昇格
プロセスの保護（アンチキルおよびダンプ防止）
メモリスキャナーの回避（例：pe-sieve）
スレッドの隠蔽および表示
スレッドの保護（アンチキル）
ファイルの保護（削除および上書き防止）
レジストリキーと値の保護（削除および上書き防止）
レジストリキーと値の隠蔽
現在保護または隠蔽されているプロセス、スレッド、ファイル、ポート、レジストリキーと値の一覧表示
関数パッチ
組み込み AMSI バイパス
組み込み ETW パッチ
プロセス署名（PP/PPL）の変更
リフレクティブロード対応
シェルコードインジェクション
- APC
- NtCreateThreadEx
DLL インジェクション
- APC
- NtCreateThreadEx
カーネルコールバックの一覧表示
- ObCallbacks
- プロセスおよびスレッド作成ルーチン
- イメージロードルーチン
- レジストリコールバック
カーネルコールバックの削除と復元
ETW プロバイダーの無効化 / 有効化（例：ETW-TI）
モジュールの隠蔽および表示
ドライバの隠蔽および表示
資格情報ダンプ
ポートの隠蔽および表示
Nidhogg オブジェクトファイル（NOF）によるカーネルモード COFF 実行

リフレクティブロード

[!WARNING]
リフレクティブロードを行うと、一部の機能はデフォルトで無効になり、隠蔽されたモジュールの自動的な正常なアンロードやコールバックのフック解除も機能しなくなります。プロセス終了時に隠蔽されたモジュールを手動でアンロードし、対象ドライバがアンロードされる場合はコールバックのフックを解除することはユーザーの責任です。これを行わないと、システムの不安定性やクラッシュを引き起こす可能性があります。

バージョン v0.3 以降、Nidhogg は kdmapper を使用してリフレクティブロードできます。ただし、ドライバがコールバックを登録すると PatchGuard が自動的にトリガーされるため、Nidhogg はコールバックを一切登録しません。つまり、リフレクティブロードでドライバを読み込む場合、以下の機能はデフォルトで無効になります。

プロセス保護
スレッド保護
レジストリ操作

Nidhogg オブジェクトファイル（NOF）

バージョン v2.0 以降、Nidhogg はカーネルモード COFF 実行のための新機能「Nidhogg オブジェクトファイル（NOF）」を備えています。これにより、独自のカーネルモードコードを作成し、COFF ファイルにコンパイルすることで、以下の機能にアクセスできます。

Windows カーネル（ntoskrnl）API
システムコール
Nidhogg の API（v2.1 で追加予定）

この機能は仮想化ベースのセキュリティ（VBS）と互換性がありません。HVCI と kCFG の両方に違反するためです。

スクリプト実行（v2.0 で非推奨）

バージョン v1.0 以降、Nidhogg は NidhoggScript を実行できます。これは複数のコマンドを連続して実行できるツールで、Nidhogg のプレイブックを作成できます。作成方法については wiki をご覧ください。

メンテナンスが困難であり、あまり人気のない機能であるため、バージョン v2.0 で非推奨となり、次のメジャーリリースで削除される予定です。代わりに、カーネルモード COFF 実行のための別の機能「Nidhogg オブジェクトファイル（NOF）」に置き換えられます。これは Nidhogg の API にアクセスできます。

初期操作（v2.0 で非推奨）

バージョン v1.0 以降、Nidhogg は NidhoggScript を初期操作としても実行できます。つまり、プロジェクトディレクトリのルート（Python ファイルと同じディレクトリ）に out.ndhg ファイルが存在する場合、ドライバが実行されるたびにそのファイルが実行されます。

PatchGuard をトリガーする機能

[!CAUTION]
以下の機能は PatchGuard をトリガーすることが知られています。自己責任で使用してください。

プロセスの隠蔽
ファイル保護
ドライバの隠蔽

基本的な使用方法

使用可能なコマンドを確認するには、NidhoggClient.exe を実行するか、wiki で各コマンドの使用方法、パラメータ、動作の詳細をご覧ください。

NidhoggClient.exe

# 簡単な使用例：プロセスの隠蔽
NidhoggClient.exe process hide 3110

セットアップ

クライアントのビルド

クライアントをコンパイルするには、Visual Studio 2022 がインストールされている必要があります。その後、他の Visual Studio プロジェクトと同様にプロジェクトをビルドしてください。

ドライバのビルド

プロジェクトをコンパイルするには、以下のツールが必要です。

リポジトリをクローンし、プロジェクトをビルドします。

git clone https://github.com/Idov31/Nidhogg.git --recurse-submodules

ドライバのテスト

テスト環境でテストするには、管理者権限のコマンドプロンプトで以下のコマンドを実行します。

bcdedit /set testsigning on

再起動後、サービスを作成してドライバを実行します。

sc create nidhogg type= kernel binPath= C:\Path\To\Driver\Nidhogg.sys
sc start nidhogg

デバッグ

テスト環境でドライバをデバッグするには、管理者権限のコマンドプロンプトで以下のコマンドを実行し、コンピュータを再起動します。

bcdedit /debug on

再起動後、DebugView などのツールでデバッグメッセージを確認できます。

参考資料

貢献者

このプロジェクトに貢献してくださった皆様に感謝します。