shadow-rs 🦀

shadow-rs는 Rust로 작성된 Windows 커널 루트킷으로, Rust의 안전성과 성능 기능을 활용하면서 커널 조작을 위한 고급 기술을 시연합니다. 이 프로젝트는 교육 및 연구 목적으로 제작되었습니다.

목차

• 공지
• 기능
• 설치
• 지원 플랫폼
• 빌드 지침
  • 드라이버
  • 클라이언트
• 설정 지침
  • 테스트 모드 활성화
  • Windbg로 디버깅
  • 서비스 생성/시작
• 고지 사항
• shadow-rs에 기여하기
• 참고 자료
• 라이선스
• 기여자

공지

[!IMPORTANT]
이 프로젝트는 개발 중입니다.

기능

프로세스

• ✅ 프로세스 숨기기 및 숨김 해제.
• ✅ Protected Processes (PP) 및 Protected Process Light (PPL)을 처리하기 위해 프로세스 서명 수준 수정.
• ✅ 프로세스를 종료 및 메모리 덤프로부터 보호.
• ✅ 프로세스 권한을 SYSTEM으로 상승시켜 완전한 관리자 액세스 권한 부여.
• ✅ 대상 프로세스 종료.
• ✅ 보호되거나 숨겨진 모든 프로세스 나열.

스레드

• ✅ 스레드 숨기기 및 숨김 해제.
• ✅ 스레드를 종료 또는 일시 중단으로부터 보호.
• ✅ 보호되거나 숨겨진 모든 스레드 나열

드라이버

• ✅ 커널 모드 드라이버 숨기기 및 숨김 해제.
• ✅ 로드된 모든 드라이버 열거.
• ✅ 서명되지 않은 드라이버를 로드할 수 있도록 드라이버 서명 적용(DSE) 활성화 또는 비활성화.
• ✅ 드라이버 로드 차단.

콜백

• ✅ 프로세스 생성, 스레드 생성, 이미지 로드 및 레지스트리 작업에 대해 등록된 콜백 나열.
• ✅ 특정 콜백 제거 또는 복원.
• ✅ 제거된 모든 콜백 나열.

기타

• ✅ 커널 수준 가로채기를 통해 사용자 입력 키 입력을 실시간으로 캡처.
• ✅ Microsoft-Windows-Threat-Intelligence(EtwTi) 비활성화.
• ✅ BSOD 발생 시 메모리 덤프에서 드라이버 아티팩트 정리.
• ✅ 암호화 문자열 컴파일.
• ✅ 리플렉티브 드라이버 로딩 지원.

사용자 모드 코드 실행

• ✅ ZwCreateThreadEx를 사용하여 프로세스에 셸코드 또는 DLL 주입.
• ✅ 알림 가능한(alertable) 스레드에서 셸코드 또는 DLL을 실행하기 위한 비동기 프로시저 호출(APC) 주입.
• ✅ Thread Hijacking을 사용하여 프로세스에서 셸코드 실행.

모듈

• ✅ 프로세스 메모리 목록에서 모듈 숨기기.
• ✅ 로드된 모든 모듈 열거.

레지스트리

• ✅ 탐지 및 조작을 방지하기 위해 레지스트리 키와 값 숨기기 및 숨김 해제.
• ✅ 키 또는 값 삭제나 덮어쓰기를 방지하기 위해 레지스트리 보호 적용.

네트워크

• ✅ netstat 및 유사한 모니터링 도구로부터 네트워크 포트 숨기기 및 숨김 해제.

설치

• 여기에서 Rust를 설치하세요.
• 커널 개발용 Rust를 설정하려면 Microsoft의 가이드를 따르세요.

지원 플랫폼

• ✅ Windows 10 / 11 (x64만 해당)

빌드 지침

드라이버

driver 디렉터리로 이동하여 커널 드라이버를 빌드하세요:

cargo make default --release

[!IMPORTANT]
참고: 첫 번째 빌드는 관리자 권한으로 실행해야 합니다. 이후 빌드에는 상승된 권한이 필요하지 않습니다.

kdmapper와 같은 도구의 매핑 지원을 활성화하려면 다음으로 컴파일하세요:

cargo make default --release --features mapper

클라이언트

client 디렉터리로 이동하여 사용자 모드 클라이언트를 빌드하세요:

cargo build --release

매핑된 드라이버와의 호환성을 위해:

cargo build --release --features mapper

설정 지침

테스트 모드 또는 테스트 서명 모드 활성화

bcdedit /set testsigning on

서비스 생성 / 시작

드라이버를 로드하려면 서비스 제어 관리자 또는 OSR Driver Loader를 사용할 수 있습니다.

디버깅

Windbg를 사용하여 커널에 연결하고 드라이버 활동을 모니터링하세요.

bcdedit /debug on
bcdedit /dbgsettings net hostip:<IP> port:<PORT>

shadow-rs에 기여하기

shadow-rs에 기여하려면 다음 단계를 따르세요:

1. 이 저장소를 포크하세요.
2. 브랜치를 생성하세요: git checkout -b <branch_name>.
3. 변경 사항을 적용하고 커밋하세요: git commit -m '<commit_message>'.
4. 원래 브랜치로 푸시하세요: git push origin <project_name> / <local>.
5. 풀 리퀘스트를 생성하세요.

또는 풀 리퀘스트 생성 방법에 대한 GitHub 문서를 참조하세요.

고지 사항

이 프로젝트는 교육 및 연구 목적으로 제공됩니다. 소프트웨어의 악의적인 사용은 엄격히 금지되며 권장되지 않습니다. 소프트웨어의 부적절한 사용으로 인해 발생하는 손해에 대해 저는 책임지지 않습니다.

참고 자료

shadow-rs를 만들고 일부 기능을 기여하는 데 영감을 준 다음 프로젝트에 감사를 표합니다:

• Hidden
• Nidhogg
• eagle-rs
• Banshee
• ReadWriteDriverSample

기타 필수 리소스:

다음 자료와 연구는 Windows 커널 개발에 대한 이해를 높이는 데 매우 귀중했습니다:

• UnKnoWnCheaTs
• Reactos
• Blinding EDR On Windows
• Windows Kernel Programming - Pavel
• Rootkit Arsenal Escape Evasion Corners
• Rootkits Subverting Windows Greg Hoglund
• Rootkits Bootkits Reversing Malware Generation
• Memory Forensics
• Leveraging Rootkits for Post-Exploitation - Black Hat

라이선스

이 프로젝트는 MIT 라이선스에 따라 라이선스가 부여됩니다. 자세한 내용은 LICENSE 파일을 참조하세요.

기여자