Chaos-Rootkit は、カーネル内部とルートキット技術をより深く理解するために私が書いた x64 Ring 0 ルートキットです。
GUI バージョン
プロセスの非表示: この機能は、DKOM を使用してプロセス一覧ツールからプロセスを隠すことができます。
特定のプロセスの特権を昇格: この機能により、特定のプロセスの特権を昇格できます。
ディスク上およびメモリ内のドライバーを Microsoft 製ドライバーと交換: この実装の功績はすべて IDontCode Back Engineering の卓越した仕事によるものです。また、この機能のためにアンロードおよびシャットダウン処理も実装し、ルートキットのドライバーがいつか破損したりクラッシュしたりしないようにしました。
指定されたプロセス ID 以外のユーザーモードアプリケーションによるファイルアクセスを制限します。
昇格したプロセスを生成: 昇格した特権でコマンドプロンプトを起動します。
ファイル整合性チェックを回避し、アンチマルウェアから保護: ファイル操作を正規のファイルにリダイレクトすることで、ファイルが本物で有効な証明書で署名されているように見せかけます。また、アンチマルウェアがスキャンしようとした場合、ルートキットは直ちにそのアンチマルウェアプロセスを強制終了します。
すべてのプロセスの保護を解除
指定した保護レベル（WinSystem、WinTcb、Windows、Authenticode、Lsa、Antimalware）で特定のプロセスを保護します。
特定のファイルをアンチマルウェアから保護します。アンチマルウェアがスキャンしようとした場合、呼び出し元の EPROCESS 保護メンバーをチェックすることで、ルートキットがそれをシャットダウンします。
..
