Terminator

• zam64.sys ドライバを悪用してすべての EDR/XDR/AV プロセスを終了させる Spyboy の手法を再現
• Spyboy は Terminator ソフトウェアを 3,000 ドルで販売していた 詳細はこちら
• サンプルは loldrivers から入手

使用方法

• コンパイル済みバージョンは こちら にあります

• ドライバ Terminator.sys を実行ファイルと同じパスに配置してください

• プログラムを管理者として実行してください

• サービスがアンチマルウェアを再起動しないように、プログラムを実行したままにしておいてください

  

技術的詳細

• このドライバには、信頼されたプロセス ID のみが IOCTL を送信できるようにする保護メカニズムが含まれています。プロセス ID を信頼済みリストに追加しない限り、毎回 'Access Denied' メッセージが表示されます。ただし、自分の PID を信頼済みリストに追加する IOCTL を送信することで簡単に回避でき、その後は多数の重要な IOCTL を制御できるようになります