shadow-rs 🦀

shadow-rs é um rootkit de kernel do Windows escrito em Rust, demonstrando técnicas avançadas de manipulação de kernel enquanto aproveita os recursos de segurança e desempenho do Rust. Este projeto destina-se a fins educacionais e de pesquisa.

Sumário

• Aviso
• Recursos
• Instalação
• Plataformas Suportadas
• Instruções de Compilação
  • Driver
  • Cliente
• Instruções de Configuração
  • Ativar Modo de Teste
  • Depurar via Windbg
  • Criar/Iniciar Serviço
• Isenção de Responsabilidade
• Contribuindo para o shadow-rs
• Referências
• Licença
• Contribuidores

Aviso

[!IMPORTANT]
Este projeto está em desenvolvimento.

Recursos

Processo

• ✅ Ocultar e exibir processos.
• ✅ Modificar os níveis de assinatura dos processos para lidar com Protected Processes (PP) e Protected Process Light (PPL).
• ✅ Proteger processos contra encerramento e despejo de memória.
• ✅ Elevar privilégios de processos para SYSTEM, concedendo acesso administrativo total.
• ✅ Encerrar processos de destino.
• ✅ Listar todos os processos protegidos e ocultos.

Thread

• ✅ Ocultar e exibir threads.
• ✅ Proteger threads contra encerramento ou suspensão.
• ✅ Listar todas as threads protegidas e ocultas

Driver

• ✅ Ocultar e exibir drivers em modo kernel.
• ✅ Enumerar todos os drivers carregados.
• ✅ Ativar ou desativar o Driver Signature Enforcement (DSE) para permitir o carregamento de drivers não assinados.
• ✅ Bloquear o carregamento de drivers.

Callback

• ✅ Listar callbacks registrados para criação de processos, criação de threads, carregamento de imagens e operações de registro.
• ✅ Remover ou restaurar callbacks específicos.
• ✅ Listar todos os callbacks removidos.

Diversos

• ✅ Capturar pressionamentos de teclas do usuário em tempo real com interceptação em nível de kernel.
• ✅ Desabilitar o Microsoft-Windows-Threat-Intelligence (EtwTi).
• ✅ Limpar artefatos de driver de dumps de memória em caso de BSOD.
• ✅ Compilar string de criptografia.
• ✅ Suporte para carregamento reflexivo de drivers.

Execução de Código no Modo Usuário

• ✅ Injetar shellcode ou DLLs em processos usando ZwCreateThreadEx.
• ✅ Injeção de Asynchronous Procedure Call (APC) para executar shellcode ou DLLs em threads alertáveis.
• ✅ Executar shellcode em processos usando Thread Hijacking.

Módulo

• ✅ Ocultar módulos das listagens de memória dos processos.
• ✅ Enumerar todos os módulos carregados.

Registro

• ✅ Ocultar e exibir chaves e valores do registro para evitar detecção e manipulação.
• ✅ Aplicar proteção ao registro para evitar exclusão ou sobrescrita de chaves ou valores.

Rede

• ✅ Ocultar e exibir portas de rede do netstat e de ferramentas de monitoramento semelhantes.

Instalação

• Instale o Rust aqui.
• Siga o guia da Microsoft para configurar o Rust para desenvolvimento de kernel.

Plataformas Suportadas

• ✅ Windows 10 / 11 (somente x64)

Instruções de Compilação

Driver

Navegue até o diretório driver e compile o driver de kernel:

cargo make default --release

[!IMPORTANT]
Observação: A primeira compilação deve ser executada como Administrador. As compilações subsequentes não exigem privilégios elevados.

Para habilitar o suporte a mapeamento para ferramentas como kdmapper, compile com:

cargo make default --release --features mapper

Cliente

Navegue até o diretório client e compile o cliente em modo usuário:

cargo build --release

Para compatibilidade com drivers mapeados:

cargo build --release --features mapper

Instruções de Configuração

Ativar o Modo de Teste ou o Modo de Assinatura de Teste

bcdedit /set testsigning on

Criar / Iniciar Serviço

Você pode usar o Service Control Manager ou o OSR Driver Loader para carregar seu driver.

Depuração

Use o Windbg para anexar ao kernel e monitorar a atividade do driver.

bcdedit /debug on
bcdedit /dbgsettings net hostip:<IP> port:<PORT>

Contribuindo para o shadow-rs

Para contribuir com o shadow-rs, siga estas etapas:

1. Faça um fork deste repositório.
2. Crie um branch: git checkout -b <branch_name>.
3. Faça suas alterações e confirme-as: git commit -m '<commit_message>'.
4. Envie para o branch original: git push origin <project_name> / <local>.
5. Crie o pull request.

Alternativamente, consulte a documentação do GitHub sobre como criar um pull request.

Isenção de Responsabilidade

Este projeto é para fins educacionais e de pesquisa. O uso malicioso do software é estritamente proibido e desencorajado. Não me responsabilizo por qualquer dano causado pelo uso indevido do software.

Referências

Quero expressar minha gratidão a esses projetos que me inspiraram a criar o shadow-rs e contribuíram com alguns recursos:

• Hidden
• Nidhogg
• eagle-rs
• Banshee
• ReadWriteDriverSample

Outros Recursos Essenciais:

Esses materiais e pesquisas foram inestimáveis para aprofundar minha compreensão do desenvolvimento de kernel do Windows:

• UnKnoWnCheaTs
• Reactos
• Blinding EDR On Windows
• Windows Kernel Programming - Pavel
• Rootkit Arsenal Escape Evasion Corners
• Rootkits Subverting Windows Greg Hoglund
• Rootkits Bootkits Reversing Malware Generation
• Memory Forensics
• Leveraging Rootkits for Post-Exploitation - Black Hat

Licença

Este projeto está licenciado sob a Licença MIT. Consulte o arquivo LICENSE para obter detalhes.

Contribuidores