
커널 모드 드라이버로, nvraid.sys의 JMP RCX 가젯을 악용해 레지스트리 콜백을 등록함으로써 탐지되지 않는 통신을 달성하며, 주로 안티치트 우회에 사용됩니다.
https://github.com/EBalloon/Common-Registry
NTSTATUS __stdcall DriverEntry(PDRIVER_OBJECT DriverObject, PUNICODE_STRING RegistryPath)
{
char *nvraid_base; // rax
char *jmp_rcx_in_nvraid; // rbx
nvraid_base = (char *)get_sys_module_1400010E8(L"nvraid.sys");
if ( !nvraid_base )
return 0xC0000008;
jmp_rcx_in_nvraid = find_jmp_rcx_140001070(nvraid_base);
if ( !jmp_rcx_in_nvraid )
return 0xC0000225;
RtlInitUnicodeString(&String2, L"GlobalDeviceUpdateTime");// 레지스트리 키
return CmRegisterCallback((PEX_CALLBACK_FUNCTION)jmp_rcx_in_nvraid, sub_1400011E0, stru_140003000);
}