#### RecycledGate（`--resolve recycled`）

FreshyCalls（VAソート）の信頼性と、Hell's Gateのオペコード検証を組み合わせた方式。各関数について：

1. ソート済み位置から候補SSNを取得（FreshyCalls）
2. スタブがクリーンな場合、SSNがオペコードと一致するか検証（二重チェック）
3. スタブがフックされている場合、ソート済みインデックスのSSNを信頼（フック耐性）

**利用可能な中で最も回復力のある手法** — フックがスタブを並べ替えたりオペコードを変更したりしても、VAソートが正しいSSNを導き出します。

#### HW Breakpoint（`--resolve hw_breakpoint`）

**デバッグレジスタ**（DR0–DR3）とVectored Exception Handler（VEH）を使用して、（フックされている可能性のある）関数バイトを読み取らずにSSNを抽出します：

1. DR0 = ntdllスタブ内の`syscall`命令のアドレスに設定
2. VEHハンドラを登録
3. スタブを呼び出す — VEHが`EXCEPTION_SINGLE_STEP`を捕捉
4. ブレークポイント時点でEAXにSSNが含まれている — それを取得
5. DR0をクリアし、syscallをスキップして続行

フックが実行をリダイレクトする場合でも機能します。`mov eax, <SSN>`の後にブレークポイントが発火するためです。

### 新しい回避技術

#### AMSI Bypass（`--amsi-bypass`）

`amsi.dll!AmsiScanBuffer`をパッチして`E_INVALIDARG`を返すようにし、AMSIにスキャン引数が無効であると思わせます。`amsi.dll`が読み込まれていない場合は、成功を返します（パッチするものはありません）。```c
SW4_PatchAmsi();  // Call early, before any suspicious operations

これにより、ntdll からすべてのインラインフックが完全に削除され、以降の NT API 呼び出しは元のコードパスを経由するようになります。

#### アンチデバッグ (`--anti-debug`)
デバッガー/解析環境の存在を検出するための 6 つのチェックを実行します:

| チェック | 技術 | 検出内容 |
|-------|-----------|---------|
| 1 | `PEB.BeingDebugged` | 標準的なデバッガーのアタッチ |
| 2 | `NtGlobalFlag` (0x70) | デバッガーによって設定されるヒープデバッグフラグ |
| 3 | `RDTSC` タイミングデルタ | シングルステップ / トレーシング |
| 4 | `NtQueryInformationProcess(ProcessDebugPort)` | カーネルデバッグポート |
| 5 | ヒープフラグ解析 | デバッグヒープの兆候 |
| 6 | インストルメンテーションコールバックの検出 | EDR のインストルメンテーションフック |```c
if (!SW4_AntiDebugCheck()) {
    // Debugger detected — bail out or take evasive action
    ExitProcess(0);
}

無効化:
- スリープ中のメモリスキャナー（コードは暗号化された意味不明なデータ）
- 定期的なモジュールスキャン（シグネチャが一致しない）
- メモリ内PEに対するYARA/シグネチャスキャン

---

## 全機能（既存＋新規）

### SSN解決メソッド（全8種）

| 手法 | フラグ | フック耐性 | 速度 | 備考 |
|--------|------|:-:|:-:|-------|
| Static | `--resolve static` | なし | 最速 | 組み込みのj00ruテーブル、実行時解析なし |
| Hell's Gate | `--resolve hells_gate` | 低 | 高速 | オペコードバイトを読み取る — フックされていると失敗 |
| Halo's Gate | `--resolve halos_gate` | 中 | 高速 | 隣接スキャン（±8スタブ） |
| Tartarus' Gate | `--resolve tartarus` | 高 | 高速 | E9/FF25/EB/CCフックを検出、±16隣接 |
| FreshyCalls | `--resolve freshycalls` | **非常に高** | 中 | VA順にソート — 関数バイトを読み取らない |
| SyscallsFromDisk | `--resolve from_disk` | **最大** | 遅い | ディスクからクリーンなntdllをマップ |
| RecycledGate | `--resolve recycled` | **最大** | 中 | FreshyCalls + オペコードの相互検証 |
| HW Breakpoint | `--resolve hw_breakpoint` | **最大** | 遅い | DRレジスタ + VEH |

### 呼び出しメソッド（全4種）

| 手法 | フラグ | ntdll内のRIP | ディスク上のSyscall | 呼び出しごとにランダム |
|--------|------|:-:|:-:|:-:|
| Embedded | `--method embedded` | ❌ | ✅ | ❌ |
| Indirect | `--method indirect` | ✅ | ❌ | ❌ |
| Randomized | `--method randomized` | ✅ | ❌ | ✅ (64ガジェット) |
| Egg Hunt | `--method egg` | ❌ | ❌ | ❌ |

### 回避オプション（全8種）

| 機能 | フラグ | 説明 |
|---------|------|-------------|
| 難読化 | `--obfuscate` | スタブの並べ替え + 14種類のジャンク命令バリアント |
| SSN暗号化 | `--encrypt-ssn` | ランダムなコンパイル時キーによるXOR |
| スタックスプーフィング | `--stack-spoof` | ntdllから合成されたリターンアドレス |
| ETWバイパス | `--etw-bypass` | `EtwEventWrite`にパッチを当て、ACCESS_DENIEDを返す |
| AMSIバイパス | `--amsi-bypass` | `AmsiScanBuffer`にパッチを当て、E_INVALIDARGを返す |
| ntdllアンフッキング | `--unhook-ntdll` | `\KnownDlls\` からクリーンな `.text` を再マップ |
| アンチデバッグ | `--anti-debug` | 6つの検出チェック（PEB、タイミング、ヒープなど） |
| スリープ暗号化 | `--sleep-encrypt` | スリープ中に `.text` をEkkoスタイルでXOR |

---

## クイックスタート```bash
git clone https://github.com/CyberSecurityUP/SysWhispers4
cd SysWhispers4

# Optional: update syscall table from j00ru (for --resolve static)
python scripts/update_syscall_table.py

# Common preset — FreshyCalls + direct syscall (recommended start)
python syswhispers.py --preset common

# Injection preset — indirect via Tartarus' Gate
python syswhispers.py --preset injection --method indirect --resolve tartarus

# Maximum evasion: all techniques combined
python syswhispers.py --preset stealth \
    --method randomized --resolve recycled \
    --obfuscate --encrypt-ssn --stack-spoof \
    --etw-bypass --amsi-bypass --unhook-ntdll \
    --anti-debug --sleep-encrypt

# Clean ntdll from disk — bypasses ALL hooks
python syswhispers.py --preset injection \
    --method indirect --resolve from_disk \
    --unhook-ntdll

# Hardware breakpoint SSN extraction
python syswhispers.py --functions NtAllocateVirtualMemory,NtCreateThreadEx \
    --resolve hw_breakpoint

# Egg hunt (no syscall opcode on disk)
python syswhispers.py \
    --functions NtAllocateVirtualMemory,NtWriteVirtualMemory,NtCreateThreadEx \
    --method egg --resolve halos_gate

# ARM64 (Windows on ARM)
python syswhispers.py --preset common --arch arm64

# x86 / WoW64
python syswhispers.py --preset injection --arch x86

# MinGW / Clang (GAS inline assembly)
python syswhispers.py --preset common --compiler mingw

---

## 生成ファイル

| ファイル | 目的 |
|---|---|
| `SW4Syscalls_Types.h` | NT型定義 — 構造体、列挙型、typedef |
| `SW4Syscalls.h` | 関数プロトタイプ + `SW4_Initialize()` + 回避API宣言 |
| `SW4Syscalls.c` | ランタイムSSN解決 + ヘルパー関数 + 回避実装 |
| `SW4Syscalls.asm` | MASM syscallスタブ (MSVC) |
| `SW4Syscalls_stubs.c` | GASインラインアセンブリスタブ (MinGW / Clang) |

---

## 統合 (MSVC)

1. 4つのファイルをVisual Studioプロジェクトに追加します
2. MASMを有効にする: **プロジェクト → ビルドカスタマイズ → masm (.targets)**
3. 起動時に初期化関数を呼び出します```c
#include "SW4Syscalls.h"

int main(void) {
    // Step 1 (optional): Remove ALL hooks from ntdll
    // Call BEFORE Initialize for best results
    SW4_UnhookNtdll();

    // Step 2: Resolve SSNs (required for all dynamic methods)
    if (!SW4_Initialize()) return 1;

    // Step 3 (optional): Evasion patches
    SW4_PatchEtw();    // Suppress user-mode ETW events
    SW4_PatchAmsi();   // Bypass AMSI scanning

    // Step 4 (optional): Verify clean environment
    if (!SW4_AntiDebugCheck()) {
        // Debugger detected — take evasive action
        return 0;
    }

    // Use NT functions directly — all via syscall, no API hooks
    PVOID base = NULL;
    SIZE_T size = 0x1000;
    NTSTATUS st = SW4_NtAllocateVirtualMemory(
        GetCurrentProcess(), &base, 0, &size,
        MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE
    );

    // Use encrypted sleep instead of Sleep()
    // SW4_SleepEncrypt(5000);  // .text encrypted during sleep

    return NT_SUCCESS(st) ? 0 : 1;
}

---

## SSN 解決テクニック

### 静的
生成時に同梱の j00ru テーブルからシステムコール番号を埋め込みます。実行時の ntdll パースは不要 — 最速かつ最もシンプルです。埋め込みテーブルは検出シグナルとなるため、ステルス性を求める場合は動的手法を使用してください。

### FreshyCalls *(デフォルト — 推奨)*
ntdll のすべての `Nt*` エクスポートを仮想アドレスでソートします。ソートされたインデックス = SSN です。**すべて** の `Nt*` スタブがフックされていても機能します — VA のみを読み取り、関数バイトは読み取りません。

### Hell's Gate
各 ntdll スタブから `mov eax, <SSN>` オペコードを直接読み取ります:```
4C 8B D1 B8 [SSN_lo] [SSN_hi] 00 00

### エッグハント
スタブは、`syscall` の代わりに8バイトのランダムなエッグマーカーを含みます。`SW4_HatchEggs()` は起動時に `.text` セクションをスキャンし、各エッグを `0F 05 90 90 90 90 90 90` に置き換えます。**ディスク上のバイナリには `syscall` オペコードは現れません。**

---

## EDR 検出の全体像

| 検出ベクトル | 埋め込み | 間接 | ランダム化 | エッグ |
|---|:-:|:-:|:-:|:-:|
| ユーザーモードフックの回避 | ✅ | ✅ | ✅ | ✅ |
| syscall 時に RIP が ntdll 内にある | ❌ | ✅ | ✅ | ❌ |
| ディスク上のバイナリに `0F 05` が存在しない | ✅¹ | ✅ | ✅ | **✅** |
| 呼び出しごとにランダムなガジェット | ❌ | ❌ | **✅** | ❌ |
| クリーンなコールスタック | `--stack-spoof` 使用時 | `--stack-spoof` 使用時 | `--stack-spoof` 使用時 | `--stack-spoof` 使用時 |
| スリープ中のメモリスキャン回避 | `--sleep-encrypt` 使用時 | `--sleep-encrypt` 使用時 | `--sleep-encrypt` 使用時 | `--sleep-encrypt` 使用時 |
| カーネル ETW-Ti バイパス | ❌ | ❌ | ❌ | ❌ |

¹ `syscall` オペコードは、ntdll ではなく、PE の `.text` セクション内の自身のコードアドレスにあります。

> **ETW-Ti** (`Microsoft-Windows-Threat-Intelligence`) は、呼び出し方法に関係なくカーネル内で発動します。カーネルアクセスなしにこれをバイパスできるユーザーモード技術はありません。

---

## 回避技術の詳細

### XOR 暗号化 SSN テーブル (`--encrypt-ssn`)
SSN 値は、ランダムなコンパイル時キーで XOR された状態で保存されます。syscall の直前に ASM スタブ内で復号されます。静的状態のバイナリには平文の SSN は現れません。```c
#define SW4_XOR_KEY  0xDEADF00DU
// In SSN table: encrypted value
SW4_SsnTable[fi] = sortedIndex ^ SW4_XOR_KEY;

; In stub: decrypt before syscall
mov eax, DWORD PTR [SW4_SsnTable + N*4]  ; encrypted
xor eax, SW4_XOR_KEY                      ; decrypt
syscall

### ETW バイパス (`--etw-bypass`)
`ntdll!EtwEventWrite` にパッチを適用し、即座に `STATUS_ACCESS_DENIED` を返すようにすることで、ユーザーモードの ETW イベント配信を抑制します。

> これはカーネルモードの ETW-Ti コールバックを**バイパスしません**。許可されたエンゲージメントでのみ使用してください。

### ntdll のフック解除 (`--unhook-ntdll`)
`\KnownDlls\` からクリーンな ntdll をマッピングし、フックされた `.text` セクションの上にクリーンな `.text` セクションを `memcpy` でコピーします:```
Flow: NtOpenSection → NtMapViewOfSection → FindSection(".text") →
      VirtualProtect(RWX) → memcpy(clean→hooked) → VirtualProtect(RX) → cleanup

---

## 対応機能 (64)```bash
python syswhispers.py --list-functions

### 高速＆シンプル（CTF / クイックテスト）```bash
python syswhispers.py --preset common

### プロセス・ドッペルゲンギング```bash
python syswhispers.py --preset transaction \
    --method indirect --resolve freshycalls

---

## セキュリティ通知

SysWhispers4 は、セキュリティ研究および許可された侵入テストを目的としたツールです。以下の場合にのみ使用してください:

- 所有しているシステム、または明示的な書面によるテスト許可を得たシステム
- CTF コンテスト
- 防御研究（攻撃手法を理解して検知を向上させるため）
- セキュリティ製品のシグネチャ開発

所有していないシステムに対する不正使用は、多くの法域で違法となります。

---

## 参考資料・クレジット

| リソース | 著者 |
|---|---|
| [SysWhispers](https://github.com/jthuraisamy/SysWhispers) | Jackson T. (jthuraisamy) |
| [SysWhispers2](https://github.com/jthuraisamy/SysWhispers2) | Jackson T. (jthuraisamy) |
| [SysWhispers3](https://github.com/klezVirus/SysWhispers3) | klezVirus |
| [SysWhispers3 fork](https://github.com/RWXstoned/SysWhispers3) | RWXstoned |
| [Windows Syscall Tables](https://github.com/j00ru/windows-syscalls) | j00ru |
| [Hell's Gate](https://github.com/am0nsec/HellsGate) | am0nsec, RtlMclovin |
| [Halo's Gate](https://sektor7.net) | SEKTOR7 |
| [Tartarus' Gate](https://github.com/trickster0/TartarusGate) | trickster0 |
| [FreshyCalls](https://github.com/crummie5/FreshyCalls) | crummie5 |
| [RecycledGate](https://github.com/thefLink/RecycledGate) | thefLink |
| [Ekko Sleep Obfuscation](https://github.com/Cracked5pider/Ekko) | C5pider |
| [LayeredSyscall](https://whiteknightlabs.com/2024/07/31/layeredsyscall-abusing-veh-to-bypass-edrs/) | White Knight Labs |
| [Call Stack Spoofing](https://labs.withsecure.com/publications/spoofing-call-stacks-to-confuse-edrs) | WithSecure Labs |
| [SysWhispers Evolution Analysis](https://sudosiddharths.medium.com/analyzing-the-evolution-and-execution-of-syswhispers-1-3-74cbbcdaf397) | Siddharth S. |

---

## ライセンス

このプロジェクトは、教育および許可されたセキュリティテストの目的で公開されています。