Hidden 🇺🇦

Hidden foi desenvolvido como uma solução para tarefas de engenharia reversa e pesquisa. Este é um driver do Windows com uma interface de modo de usuário que é usado para ocultar ambientes específicos em sua máquina Windows, como programas RCE instalados (ex. procmon, wireshark), infraestrutura de VM (ex. ferramentas VMware) e etc.

Funcionalidades

• ocultar chaves e valores do registro
• ocultar arquivos e diretórios
• ocultar processos (experimental, pode não ser estável)
• proteger processos específicos
• excluir processos específicos dos recursos de ocultação e proteção
• interface de modo de usuário (lib e cli) para trabalhar com um driver

e assim por diante

Requisitos de sistema

Windows Vista e superior, x86 e x64

Ambiente de compilação recomendado

• Visual Studio 2019
• Windows Driver Kit 10

Compilação

O guia a seguir explica como fazer uma compilação release win32

1. Abra Hidden.sln usando o Visual Studio
2. Compile o projeto Hidden Package com as configurações Release, Win32
3. Abra a pasta de resultados da compilação <ProjectDir>\Release

Instalação

1. Desative a imposição de assinatura digital em uma máquina de teste (bcdedit /set TESTSIGNING ON) e reinicie-a
2. Copie os arquivos de <ProjectDir>\Release\Hidden Package para uma máquina de teste
3. Clique com o botão direito do mouse em Hidden.inf e escolha Instalar
4. Inicie o driver (sc start hidden)
5. Verifique se o serviço está em execução (sc query hidden)

Importante: Lembre-se de que a arquitetura do driver deve ser a mesma do sistema operacional

Ocultação

Uma ferramenta de linha de comando hiddencli é usada para gerenciar um driver. Você pode usá-la para ocultar e revelar objetos, alterar o estado do driver e assim por diante.

Para ocultar um arquivo, tente o comando

hiddencli /hide file c:\Windows\System32\calc.exe

Quer ocultar um diretório? Sem problemas

hiddencli /hide dir "c:\Program Files\VMWare"

Chave do registro?

hiddencli /hide regkey "HKCU\Software\VMware, Inc."

Talvez um processo?

hiddencli /hide pid 2340

Pelo nome da imagem do processo?

hiddencli /hide image apply:forall c:\Windows\Explorer.EXE

Para obter ajuda completa, basta digitar

hiddencli /help