zeromemoryex/chaos-rootkit지금은 보이지만, 지금은 보이지 않아
Chaos-Rootkit은 커널 내부와 루트킷 기술을 더 잘 이해하기 위해 제가 작성한 x64 Ring 0 루트킷입니다.
GUI 버전
프로세스 숨기기: 이 기능은 DKOM을 통해 프로세스가 목록 도구에 표시되지 않도록 숨길 수 있게 해줍니다.
특정 프로세스 권한 상승: 이 기능은 특정 프로세스의 권한을 상승시킬 수 있게 해줍니다.
디스크와 메모리에서 드라이버를 Microsoft 드라이버로 교체: 이 구현에 대한 모든 공로는 뛰어난 작업을 해준 IDontCode Back Engineering에게 있습니다. 또한 이 기능의 언로드 및 종료 루틴도 처리하여 루트킷 드라이버가 손상되거나 어느 시점에 충돌하지 않도록 했습니다.
지정된 프로세스 ID를 제외한 사용자 모드 애플리케이션의 파일 액세스를 제한합니다.
권한 상승된 프로세스 생성: 상승된 권한으로 명령 프롬프트를 실행합니다.
파일 무결성 검사를 우회하고 악성코드 방지로부터 보호: 이 기능은 파일 작업을 합법적인 파일로 리디렉션하여 우리 파일이 정품이고 유효한 인증서로 서명된 것처럼 보이게 합니다. 또한 악성코드 방지 프로그램이 이를 검사하려고 하면 루트킷이 즉시 해당 프로그램의 프로세스를 종료합니다.
모든 프로세스 보호 해제
특정 프로세스를 주어진 보호 수준(WinSystem, WinTcb, Windows, Authenticode, Lsa, Antimalware)으로 보호합니다.
특정 파일을 악성코드 방지로부터 보호: 악성코드 방지 프로그램이 해당 파일을 검사하려고 하면 호출자의 EPROCESS 보호 멤버를 확인하여 루트킷이 해당 프로그램을 종료합니다.
..