voidsyscall

WinAPIゼロ。すべてのNTプリミティブはメモリ内のntdllから実行時に解決され、 SYSCALL命令はPlan9アセンブリスタブを介して直接発行される。インポートテーブルなし、 ntdllのユーザーモードフックに一切触れない。C2はHTTPS / DNS / ICMP経由、メッセージごとに AES-256-GCM。Windowsネイティブ。Linuxビルド。macOSビルド。

これはsyscallラッパーライブラリではない。コードの注入からファイルの読み取り、レジストリへの 永続化まで、すべての操作が起動時に現在のntdllエクスポートテーブルから解決された生のNt* syscallを経由する完全なインプラントフレームワークである。バイナリ内にWinAPI呼び出しは存在しない。 EDRがユーザーモードでフックできるものは何もない。

内部の内容

Syscallエンジン

• 実行時SSN解決: PEB → LDR → ntdllベース → PEエクスポートテーブル → djb2ハッシュマッチ → B8 xx xx 00 00 0F 05（直接）または 4C 8B D1 B8 xx xx 00 00 0F 05（Hells Gate）のプロローグスキャン。すべての関数名は コンパイル時にハッシュ化される — バイナリ内に平文文字列は存在しない。
• 直接syscall: Plan9アセンブリ（asm_amd64.s）がSSNをEAXにロードし、 7つの引数を手動で設定し、SYSCALLを実行する。RAX/RDX経由で戻る。
• 間接syscall: ntdll内の0F 05 C3ガジェット（syscall;ret）を特定し、 それを介して呼び出す。CPUトラップはntdll内部で発生する — コールスタックには ntdllのフレームが表示され、インプラントのフレームは表示されない。ユーザーモードフックは 一切生き残れない。
• SSNフィンガープリント: 現在のntdllビルドから解決されたすべてのSSNをダンプし、 フィンガープリントハッシュを生成する。16進数としてエクスポートし、別のマシンでインポートする。 ビルドの不一致を、それがあなたを焼き尽くす前に検出する。
• アンフック: .textをRWXにロックし、ディスクマップされたntdllから元のバイトをコピーし、 保護を復元し、icacheをフラッシュし、SSNキャッシュを破壊する。 あらゆるEDRが設置したすべてのユーザーモードフックが消える。

インジェクション — 4つの手法、ポリモーフィックローテーション

エージェントはインジェクション手法を自動的にローテーションする。各呼び出しは 異なる手法を使用する — フォレンジックにおいて2つのインジェクションが同じに見えることはない。

アンチアナリシス — 13以上の検出手法

すべてのチェックを実行し、スコア付き脅威レポートを返す。Criticalで自動破壊。

トークン操作

すべてNt* syscall経由、WinAPIなし。

• EnablePrivilege(index) — LUIDで任意の特権を設定
• EnableAllTokenPrivileges() — 一度に20の特権（Debug、Impersonate、TCB、Backup、Restoreなど）
• GetProcessTokenIntegrityLevel() — 必須整合性レベルをクエリ
• StealProcessToken(pid) — 別のプロセストークンを開いて複製
• ImpersonateThread() / RevertToSelf()

VAD操作

• EnumVirtualMemory() — NtQueryVirtualMemoryで全仮想領域を走査
• FindWritableExecRegions() — PAGE_EXECUTE_READWRITEコミット済み領域を検索
• HideRegion() — PAGE_NOACCESSを設定してスキャナからメモリを隠す
• UnhideRegion() — 元の保護を復元

ファイルI/O — すべてNt* syscall

NtCreateFile → NtReadFile / NtWriteFile → NtClose。CreateFileA、 ReadFile、WriteFile、DeleteFileW呼び出しはゼロ。ReadFileContents()、 WriteFileContents()、DeleteFileNt()、FileExists()。

レジストリ永続化 — すべてNt* syscall

NtCreateKey → NtSetValueKey。AddRunKeyPersistence()、RemoveRunKeyPersistence()。 RegCreateKeyEx、RegSetValueEx、その他Advapi32呼び出しは一切なし。

ハンドル操作

• EnumerateSystemHandles() — NtQuerySystemInformation(SystemHandleInformation)経由で システム内のすべてのオープンハンドル
• FindEDRHandles() — オーナーPIDを30以上の既知のEDRプロセス名 （MsSense、CrowdStrike、Sentinel、Cylance、Carbon Blackなど）と照合
• CloseEDRHandles() — EDRがあなたのプロセスに設置した監視ハンドルを閉じる
• IsProcessMonitored() — ブールチェック: 監視されているか？

メモリ暗号化

• Vault: タイマーで自動再キーイングするインメモリXOR暗号。 平文が生のまま保存されることはない。再キーは復号 → 新しいキーを生成 → 再暗号化する。再キー間隔の間のフォレンジックヒープダンプはゴミを取得する。
• SecureDelete: NtFreeVirtualMemoryの前に3パスワイプ（ランダム → ゼロ → 1 → ゼロ）。
• StackEncrypt: 戻る前にスタック割り当てバッファを暗号化。 スタックフレームの再利用によりフォレンジックが信頼できなくなる。

AMSI / ETW / 回避パッチ

• PatchAMSI() — AmsiScanBuffer → MOV EAX, 0; RET
• PatchETW() — EtwEventWrite → RET
• PatchNtTraceEvent() — NtTraceEvent → RET
• PatchDbgUiRemoteBreakin() — スレッドブレークイン → RET
• PatchInstrumentationCallbacks() — ThreadHideFromDebugger

C2チャネル

すべてのチャネルはChannelインターフェースを実装する。NTP、DoH、TURNの追加は インターフェースの実装を意味する — エージェントの変更はゼロ。

暗号

メッセージごとのAES-256-GCM AEAD。メッセージごとに一意の12バイトnonce。インプラントごとの キーリング。パスフレーズベースのキー導出が利用可能。3つのテスト、すべて合格。

レイアウト

voidsyscall/
  syscallwin/          Direct/indirect NT syscalls + evasion
    asm_amd64.s        Syscall/IndirectSyscall/ReadGSBase/SetGSBase/asm_cpuid/asm_rdtsc
    resolve.go         PEB→LDR→ntdll walk, PE export parse, SSN cache, prologue scan
    stubs.go           ~25 Nt* wrappers, DirectSyscall, IndirectSyscallByHash
    hash.go            djb2 hash (string + UTF-16 pointer)
    constants.go       MEM_*, PAGE_*, THREAD_*, TOKEN_*, OBJ_*, REG_*, FILE_*, STATUS_*
    unhook.go          UnhookNtdll, SelfDel
    peb.go             PEB patching (BeingDebugged, NtGlobalFlag, Heap, DebugPort)
    token.go           Privilege escalation, token theft, impersonation
    vad.go             VAD enumeration, hide/unhide regions
    files.go           File I/O via Nt* syscalls
    registry.go        Registry persistence via Nt* syscalls
    fingerprint.go     SSN dump, build fingerprint, hex export/import
    inject_advanced.go 4 injection methods: section mapping, hollow, APC, module stomp
    antianalysis.go    VM/sandbox/debug/timing detection, scored threat report
    handles.go         System handle enumeration, EDR handle killer
    memcrypt.go        Vault (re-keying XOR), SecureDelete, StackEncrypt, WipeMemory
  syscallnix/          Linux/darwin raw syscalls
  patches/             AMSI, ETW, NtTraceEvent, DbgUiRemoteBreakin, InstrumentationCallbacks
  loader/              CreateThread/APC/module-stomp injection
  channels/            HTTP, DNS (TXT), ICMP — Channel interface
  crypto/              AES-256-GCM, envelope, passphrase variant (3 tests)
  server/              SessionManager, Task Queue, interactive REPL
  agent/               Config, beacon loop, 10 task handlers
  cmd/server/main.go   CLI with REPL
  cmd/agent/main.go    Windows-only entrypoint

ビルド

GOOS=windows GOARCH=amd64 go build -ldflags="-s -w" -o voidsyscall-agent.exe   ./cmd/agent
GOOS=windows GOARCH=amd64 go build -ldflags="-s -w" -o voidsyscall-server.exe  ./cmd/server
GOOS=linux   GOARCH=amd64 go build -ldflags="-s -w" -o server-linux            ./cmd/server
GOOS=darwin  GOARCH=arm64 go build -ldflags="-s -w" -o server-darwin           ./cmd/server

garbleによる難読化:

GOOS=windows GOARCH=amd64 garble -literals -tiny build -ldflags="-s -w" \
    -o voidsyscall-agent.exe ./cmd/agent

使用方法

サーバー

openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes
./voidsyscall-server.exe --cert cert.pem --key key.pem --https-port 443

エージェント

./voidsyscall-agent.exe -c agent/example-config.json

タスクプロトコル

SSN解決の内部

1. ReadGSBase（asm） → GS:[0x60] → TEB
2. TEB+0x60 → PEB。PEB+0x18 → Ldr
3. InMemoryOrderModuleListを走査 → djb2ハッシュでntdll.dllをマッチ
4. ベース → IMAGE_DOS_HEADER → e_lfanew → IMAGE_NT_HEADERS → DataDirectory[0] = エクスポートテーブル
5. AddressOfNames[]を走査、それぞれをdjb2、ターゲットをマッチ
6. オーディナルを解決 → AddressOfFunctions[ordinal] → 関数アドレス
7. プロローグをスキャンしてB8 xx xx 00 00 0F 05（直接）、B8 xx xx 00 00 C3（アーリーレット）、または4C 8B D1 B8 xx xx 00 00 0F 05（Hells Gate）を検出

バイナリ内に関数名はない。djb2ハッシュのみ。syscall命令は すべてのユーザーモードフックをバイパスする。

エージェントタスクハンドラ

TaskShell       // exec via cmd.exe
TaskInject      // polymorphic: section/hollow/APC/stomp
TaskPatch       // AMSI/ETW/both
TaskEvasion     // PEB patches + VM/sandbox/debug/timing detection
TaskHandles     // enumerate + kill EDR monitoring handles
TaskFingerprint // dump SSN build fingerprint
TaskToken       // privilege escalation + impersonation
TaskVault       // encrypted in-memory storage
TaskSleep       // jitter-aware sleep
TaskExit        // clean shutdown

ステータス

出荷済み: ビーコンループ、タスクキュー、3つのC2チャネル、4つのインジェクション手法、 10以上の回避チェック、ハンドル列挙/クローズ、トークン操作、VAD操作、 ファイルI/O、レジストリ永続化、SSNフィンガープリンティング、メモリ暗号化、 AMSI/ETWパッチ、AES-GCM暗号、セッション管理、インタラクティブREPL。 3つの暗号テストが合格。Windowsでgo buildクリーン。

未実装: Linux自律エージェント（ビルドは存在するが、エージェントロジックなし）、 セッションキーローテーション、ステージドローダー、NTP/DoHチャネル、永続化スケジューリング。

謝辞

• carved4/go-native-syscall
• Enelg52/OffensiveGo
• am0nsec/HellsGate
• f1zm0/acheron
• Sliver C2

ライセンス

MIT — LICENSE