AxHunter

Wellbia XIGNCODE3 안티치트 xhunter 드라이버 제품군에 대한 PoC — xhunter1.sys v2023.12.7.78 (CVE-2026-3609) 및 xhunter2.sys v2026.6.1.192 (CVE-2026-15430).

워크스페이스 구조

Cargo 워크스페이스, 세 개의 크레이트:

AxHunter/
├── Cargo.toml               workspace manifest
├── axhunter-lsa/            shared crate — driver-agnostic LSA extraction (MemReader trait,
│                              LDR walk, BCrypt 3DES key extraction, LogonSessionList,
│                              WDigest). Consumed by both PoCs.
├── axhunter_v1/             xhunter1.sys v2023.12.7.78  (CVE-2026-3609)
└── axhunter_v2/             xhunter2.sys v2026.6.1.192  (CVE-2026-15430)

각 PoC 크레이트는 자체 대상 드라이버 바이너리(xhunter1.sys, xhunter2.sys)를 포함하며, axhunter_v2/src/에는 실행 중인 WindSlayer.exe 프로세스에서 추출한 Wellbia의 WBMF 모듈(wbmf_module.dll)이 포함되어 있습니다.

빌드

워크스페이스 루트에서:

cargo build --release              # builds both binaries + shared crate
cargo build --release -p AxHunter_v1
cargo build --release -p AxHunter_v2

두 바이너리 모두 target/release/에 생성됩니다:

target/release/AxHunter_v1.exe
target/release/AxHunter_v2.exe

통합 CLI

두 바이너리는 동일한 플래그를 공유합니다:

AxHunter_v1.exe -m {dump|kill|lpe|inject|all} [-t <pid|image>] [-d <device>] [-p <payload.bin>]
AxHunter_v2.exe -m {dump|kill|lpe|inject|all} [-t <pid|image>] [-d <device>] [-p <payload.bin>]

드라이버별 기본값과 모드 세부 사항은 각 크레이트의 README를 참조하세요.

관련 분석 글

• Hunting the Hunter — xhunter1.sys v2023.12.7.78. axhunter_v1/에 해당합니다.
• Hunting the Hunter II — xhunter2.sys v2026.6.1.192. axhunter_v2/에 해당합니다.

비교

속성	xhunter1.sys v2023.12.7.78	xhunter2.sys v2026.6.1.192
CVE	CVE-2026-3609	CVE-2026-15430
전송 방식	IRP_MJ_WRITE, 624바이트 평문 프레임	IRP_MJ_WRITE, 1184바이트 LCG-XOR 암호화 프레임
프레임 매직	0x345821AB	0x70506202 (MAGIC ^ SEED_KEY)
디바이스 열기 인증	없음	WBMF RSA-2048 서명 PE + PE 내 Win32StartAddress
요청별 인증	없음	WBCC blob + 인증서 체인 반복자
PID 게이트 에스컬레이션	cmd 777 + cmd 775	cmd 777 + cmd 779 + cmd 775
cmd 785 (PPL 핸들 생성)	ObOpenObjectByPointer(KernelMode)	동일
cmd 787 (교차 프로세스 읽기)	KeStackAttachProcess 바이트 복사	동일
cmd 800 (핸들 스톰프 킬)	KeStackAttachProcess + ObSetHandleAttributes(KernelMode) + ZwClose	동일
cmd 820 (커널 인젝션)	RWX 할당 + 복사 + RtlCreateUserThread (모두 ring 0)	동일

관련 참고 자료

• CVE-2026-3609 — xhunter1.sys v10.0.10011.16384부터 v2023.12.7.78까지 (분석 글, 레거시 PoC는 CredsHunter).

라이선스

MIT. LICENSE를 참조하세요.