これは何ですか？

Windows x64用のヘッダーオンリーライブラリです。ntdllインポートに触れず、バイナリに文字列を残さず、EDRを混乱させる通常の危険信号なしに、任意のNTシステムコールを呼び出すことができます。

CRTなし、STLなし、IATなし。全体が約19KBにコンパイルされ、DLL依存性は完全にゼロです。

既存のシステムコールライブラリの一般的な落とし穴（平文文字列、既知のハッシュ定数、非ntdllメモリからの直接システムコール、「何か変なことをしている」と叫ぶIATインポート、SEC_NO_CHANGE IOC、CRTの肥大化）を回避するために構築されています。ここにはそのようなものは一切ありません。

機能

システムコールエンジン

間接システムコール — スタブはntdll自身の syscall; ret ガジェットにジャンプするため、syscall命令が発火するときRIPは常にntdll内にあります。
呼び出しごとのスタブ生成 — すべての呼び出しで、ランダムなジャンク、ランダムなレイアウト、XORされたシステムコール番号を持つ新しいスタブを構築します。再利用はありません。
W^Xの強制 — スクラッチページはRW → RX → RWの順に遷移します。RWXは決して割り当てられません。
各呼び出しの直後にスタブは消去されます。
システムコールは \KnownDlls\ntdll.dll セクションマッピングから抽出されます（ファイルシステムアクセスなし、ProcMonから不可視）。
通常のWin11システムで977のシステムコールが解決されます。

アンチブレークポイント

VEHベースのアプローチ — デバッガがターゲット関数に0xCCをドロップした場合、例外ハンドラが静かに元のバイトを復元し、シングルステップで命令を実行し、ブレークポイントを戻します。デバッガはバイパスされたことに気づきません。タイミングウィンドウはゼロ。
ntdllだけでなく、任意のDLLの任意の関数で動作します。

回避

AMSIバイパス — AmsiScanBuffer をパッチしてS_OKを返すようにします。
ETWバイパス — EtwEventWrite をパッチしてSUCCESSを返すようにします。
すべてのパッチはVirtualProtectではなく直接システムコールを通じて行われます。
XOR暗号化された文字列があらゆる場所に — DLL名、パス、すべて。スタック上で復号化され、使用後に消去されます。
カスタムハッシュアルゴリズム（FNV-1aでもCRC32でもなく、既知のYARAシグネチャはありません）。
すべてのモジュール/関数解決にPEBウォークを使用 — GetModuleHandleもGetProcAddressも使いません。

コード品質

ヘッダーオンリー、 stealth/ フォルダをプロジェクトにドロップするだけですぐに使用できます。
スレッドごとのスクラッチページ＋スピンロックによりスレッドセーフ。
シャットダウン時の完全なクリーンアップ — スクラッチページ解放、マップのゼロ化、VEHの削除。
一般的なEDRトランポリン（jmp rel32、jmp [rip]、mov rax + jmp rax）に対するフック検出。

動作の仕組み

システムコールのパス

initialize() は \KnownDlls セクションを通じてntdllを開き、PEエクスポートを解析し、すべてのシステムコール番号を取得します。
ntdllの .text から syscall; ret ガジェットをスキャンします — ここが実際のsyscall命令が実行される場所です。
sc::invoke() を呼び出すと：
- ハッシュによるシステムコールエントリの検索
- 呼び出し元スレッドのスクラッチページを取得（または新規割り当て、RWのみ）
- emit_stub() がユニークなポリモーフィックスタブを構築 — 前後のランダムなジャンク命令、呼び出しごとのキーでXOR難読化されたシステムコール番号、ntdllガジェットへの間接ジャンプ
- ページをRW → RXに変更
- スタブを介して呼び出し
- RX → RWに戻す
- スタブのバイトをゼロで埋める

RWXメモリは決して存在しません。 syscall 命令がntdll外で実行されることは決してありません。システムコール番号が平文で保存されることは決してありません。

VEHトランポリン

ターゲット関数を指定して tramp::invoke() を呼び出します。ブレークポイントがない場合 — 関数はオーバーヘッドゼロで通常通り実行されます。デバッガが0xCCを配置した場合：

INT3例外が発生
VEHハンドラがアドレスがテーブル内にあるかを確認（線形スキャンではなくハッシュルックアップ）
ディスクから読み取ったクリーンなコピーから元のバイトを復元
トラップフラグを設定
実行を継続 — 実際の命令が実行される
シングルステップ例外が発生
ハンドラが0xCCを戻す

デバッガのブレークポイントリストにはまだアクティブとして表示されます。ブレークポイントは呼び出し時に決してトリガーされません。

ビルド

cmake -B build -A x64
cmake --build build --config Release

MSVC (VS 2019+) と CMake 3.15+ が必要です。出力は約19KBで、インポートはゼロです。

使用法

システムコール

#include "stealth/syscall.hpp"

stealth::sc::initialize();

PVOID base = nullptr;
SIZE_T size = 0x1000;
NTSTATUS status = stealth::sc::invoke<NTSTATUS>(
    HASH("NtAllocateVirtualMemory"),
    NtCurrentProcess(), &base, (ULONG_PTR)0, &size,
    (ULONG)(MEM_COMMIT | MEM_RESERVE), (ULONG)PAGE_READWRITE
);

アンチブレークポイント

#include "stealth/trampoline.hpp"

// x64dbgがMessageBoxAにBPを設定していても動作します
int ret = stealth::tramp::invoke<int>(
    HASH_CI("user32.dll"), HASH("MessageBoxA"),
    (HWND)nullptr, (LPCSTR)"hello", (LPCSTR)"title", (UINT)MB_OK
);

AMSI / ETW

#include "stealth/bypass.hpp"

stealth::bypass::patch_etw();
stealth::bypass::patch_amsi();

クリーンアップ

stealth::tramp::shutdown();
stealth::sc::shutdown();

プロジェクト構造

stealth/
  common.hpp      — メモリ操作、スピンロック、static_map、PRNG、デバッグ出力
  hash.hpp        — コンパイル時カスタムハッシュ
  xorstr.hpp      — コンパイル時XOR文字列暗号化
  peb.hpp         — PEBウォーク、PEエクスポートパーサー、フック検出
  syscall.hpp     — 間接システムコールエンジン、スタブジェネレータ、W^X、アンチダンプ
  trampoline.hpp  — VEHベースのアンチブレークポイント
  bypass.hpp      — AMSI + ETWパッチング

ライセンス

MIT — ご自由にお使いください。