stealth_call

これは何か？

Windows x64向けのヘッダーオンリーライブラリで、ntdllのインポートに触れることなく、バイナリに文字列を残すことなく、EDRを混乱させるような一般的なレッドフラグなしで、任意のNTシステムコールを呼び出すことができます。

CRTなし。STLなし。IATなし。全体で約19KBにコンパイルされ、DLL依存関係は文字通りゼロです。

既存のシステムコールライブラリの一般的な落とし穴（平文文字列、既知のハッシュ定数、非ntdllメモリからの直接システムコール、「何か変なことをしている」と叫ぶIATインポート、SEC_NO_CHANGE IOC、CRTの肥大化）を回避するように設計されています。ここにはそのようなものは一切ありません。

特徴

システムコールエンジン

• 間接システムコール — スタブはntdll自身のsyscall; retガジェットにジャンプするため、syscall命令が発火するときRIPは常にntdll内にあります
• コールごとのスタブ生成 — すべての単一呼び出しが、ランダムなジャンク、ランダムなレイアウト、XORされたシステムコール番号を持つ新しいスタブを構築します。再利用されるものはありません
• W^Xの強制 — スクラッチページはRW → RX → RWと遷移します。RWXが割り当てられることは絶対にありません
• スタブは各呼び出しの直後に即座に消去されます
• \KnownDlls\ntdll.dllセクションマッピングからシステムコールを抽出（ファイルシステムへのアクセスなし、ProcMonからは不可視）
• 一般的なWin11システムで977のシステムコールを解決

アンチブレークポイント

• VEHベースのアプローチ — デバッガがターゲット関数に0xCCを仕掛けた場合、例外ハンドラが元のバイトを静かに復元し、シングルステップで命令を実行し、その後ブレークポイントを元に戻します。デバッガはバイパスされたことに気づきません。タイミングウィンドウはゼロです
• ntdllだけでなく、任意のDLL内の任意の関数で動作します

回避

• AMSIバイパス — AmsiScanBufferをパッチしてS_OKを返すようにします
• ETWバイパス — EtwEventWriteをパッチしてSUCCESSを返すようにします
• すべてのパッチングはVirtualProtectではなく直接システムコールを通じて行われます
• XOR暗号化された文字列がすべての場所に — DLL名、パス、すべて。スタック上で復号化され、使用後に消去されます
• カスタムハッシュアルゴリズム（FNV-1aでもCRC32でもない — 既知のYARAシグネチャなし）
• すべてのモジュール/関数解決のためのPEBウォーク — GetModuleHandleなし、GetProcAddressなし

コード品質

• ヘッダーオンリー、stealth/フォルダをプロジェクトにドロップするだけですぐに使用可能
• スレッドごとのスクラッチページ+スピンロックによるスレッドセーフ
• シャットダウン時の完全なクリーンアップ — スクラッチページの解放、マップのゼロ化、VEHの削除
• 一般的なEDRトランポリン（jmp rel32、jmp [rip]、mov rax + jmp rax）のフック検出

仕組み

システムコールパス

1. initialize()が\KnownDllsセクションを通じてntdllを開き、PEエクスポートを解析し、すべてのシステムコール番号を取得します
2. ntdllの.textをスキャンしてsyscall; retガジェットを探します — 実際のsyscall命令が実行されるのはここです
3. sc::invoke()を呼び出すと：
   • ハッシュでシステムコールエントリを検索
   • 呼び出しスレッドのスクラッチページを取得（またはRWのみで割り当て）
   • emit_stub()が一意のポリモーフィックスタブを構築 — 前後にランダムなジャンク命令、コールごとのキーでXOR難読化されたシステムコール番号、ntdllガジェットへの間接jmp
   • ページをRW → RXにフリップ
   • スタブを通じて呼び出し
   • RX → RWにフリップバック
   • スタブバイトをゼロ化

RWXメモリが存在する瞬間はありません。syscall命令がntdllの外で実行される瞬間はありません。システムコール番号が平文で保存される瞬間はありません。

VEHトランポリン

ターゲット関数を指定してtramp::invoke()を呼び出します。ブレークポイントがない場合 — 関数はゼロオーバーヘッドで通常どおり実行されます。デバッガが0xCCを配置した場合：

1. INT3例外が発生
2. 私たちのVEHハンドラがアドレスがテーブル内にあるかチェック（線形スキャンではなくハッシュルックアップ）
3. ディスクから読み取ったクリーンなコピーから元のバイトを復元
4. トラップフラグを設定
5. 実行を継続 — 実際の命令が実行されます
6. シングルステップ例外が発生
7. ハンドラが0xCCを元に戻します

デバッガのブレークポイントリストにはまだアクティブとして表示されています。ブレークポイントは私たちの呼び出しでは決してトリガーされないだけです。

ビルド

cmake -B build -A x64
cmake --build build --config Release

MSVC（VS 2019+）とCMake 3.15+が必要です。出力はインポートゼロで約19KBです。

使用方法

システムコール

#include "stealth/syscall.hpp"

stealth::sc::initialize();

PVOID base = nullptr;
SIZE_T size = 0x1000;
NTSTATUS status = stealth::sc::invoke<NTSTATUS>(
    HASH("NtAllocateVirtualMemory"),
    NtCurrentProcess(), &base, (ULONG_PTR)0, &size,
    (ULONG)(MEM_COMMIT | MEM_RESERVE), (ULONG)PAGE_READWRITE
);

アンチブレークポイント

#include "stealth/trampoline.hpp"

// x64dbgがMessageBoxAにBPを設定していても動作します
int ret = stealth::tramp::invoke<int>(
    HASH_CI("user32.dll"), HASH("MessageBoxA"),
    (HWND)nullptr, (LPCSTR)"hello", (LPCSTR)"title", (UINT)MB_OK
);

AMSI / ETW

#include "stealth/bypass.hpp"

stealth::bypass::patch_etw();
stealth::bypass::patch_amsi();

クリーンアップ

stealth::tramp::shutdown();
stealth::sc::shutdown();

プロジェクト構造

stealth/
  common.hpp      — メモリ操作、スピンロック、static_map、PRNG、デバッグ出力
  hash.hpp        — コンパイル時カスタムハッシュ
  xorstr.hpp      — コンパイル時XOR文字列暗号化
  peb.hpp         — PEBウォーク、PEエクスポートパーサー、フック検出
  syscall.hpp     — 間接システムコールエンジン、スタブジェネレーター、W^X、アンチダンプ
  trampoline.hpp  — VEHベースのアンチブレークポイント
  bypass.hpp      — AMSI + ETWパッチング

ライセンス

MIT — 好きなように使ってください。