루트킷 기능

루트킷은 DSE를 우회하기 위해 kdmapper와 함께 로드할 수 있으며, Black Angel 로더는 아직 제대로 작동하지 않을 수 있습니다. 콜백 지원과 같은 전체 드라이버 기능을 유지하기 위해 driver-hijack 프로젝트가 사용됩니다.

• DSE 우회 (테스트 서명을 켤 필요 없음)
• KPP 우회
• 프로세스 숨기기
• 포트 숨기기 (TCP/UDP)
• 프로세스 권한 상승
• 프로세스 보호
• 셸코드 인젝터 (죽일 수 없는 셸코드. 프로세스가 죽어도 셸코드는 계속 실행될 수 있음)
• (TODO) 파일/디렉터리 숨기기
• (TODO) 레지스트리 키 숨기기

구현

BlackAngel 헤더 파일을 프로젝트에 복사하여 붙여넣기만 하면 루트킷 호출을 쉽게 구현할 수 있습니다.

데모

루트킷 데모는 제 채널에서 확인할 수 있습니다.

추가 정보

• 사용 중인 Windows 버전에 맞게 ACTIVE_PROCESS_LINKS 오프셋을 변경해야 합니다. 현재 오프셋은 Windows 10/11 Pro 21H2에서 테스트되었습니다.
• 아직 안정성 문제가 있을 수 있습니다!
• KM 셸코드 인젝터는 OP입니다. 보호된 프로세스에 셸코드를 주입하면 어떤 안티바이러스도 이를 제거하지 못합니다 >:D Metasploit shell_reverse_tcp와 같은 간단한 셸코드는 프로세스가 종료되어도 계속 작동할 수 있습니다.

리소스:

• kdmapper
• driver-hijack
• Cronos-Rootkit