Terminator

• zam64.sys 드라이버를 악용하여 모든 EDR/XDR/AV 프로세스를 종료하는 Spyboy 기법을 재현합니다.
• Spyboy는 Terminator 소프트웨어를 $3,000에 판매하고 있었습니다. 자세한 내용
• 샘플은 loldrivers에서 가져왔습니다.

사용법

• 컴파일된 버전은 여기에서 찾을 수 있습니다.

• 드라이버 Terminator.sys를 실행 파일과 같은 경로에 배치하세요.

• 프로그램을 관리자 권한으로 실행하세요.

• 프로그램을 계속 실행하여 서비스가 안티멀웨어를 다시 시작하지 못하게 하세요.

  

기술적 세부 사항

• 드라이버에는 신뢰할 수 있는 프로세스 ID만 IOCTL을 전송할 수 있도록 허용하는 보호 메커니즘이 포함되어 있습니다. 프로세스 ID를 신뢰 목록에 추가하지 않으면 매번 'Access Denied' 메시지를 받게 됩니다. 그러나 PID가 포함된 IOCTL을 전송하여 신뢰 목록에 추가되도록 하면 이 제한을 쉽게 우회할 수 있으며, 이를 통해 수많은 중요한 IOCTL을 제어할 수 있게 됩니다.