**Não venha aqui abrir issues sobre problemas com instalação, travamentos com bug check 0x109: CRITICAL_STRUCTURE_CORRUPTION ou perguntas sobre como desabilitar o PatchGuard. Vou banir você permanentemente do issue tracker. Se você não sabe como instalar a ferramenta corretamente, você não sabe o suficiente para usá-la com responsabilidade e deveria usar outra coisa como o ScyllaHide.

Visão Geral

TitanHide é um driver destinado a ocultar depuradores de determinados processos. O driver faz hook de várias funções de kernel Nt* (usando hooks na tabela SSDT) e modifica os valores de retorno das funções originais. Para ocultar um processo, você deve passar uma estrutura simples com um ProcessID e a(s) opção(ões) de ocultação a habilitar para o driver. A API interna foi projetada para adicionar hooks com pouco esforço, o que significa que adicionar recursos é realmente fácil.

A ideia para este projeto foi pensada em conjunto com cypher, shoutout man!

Recursos

• ProcessDebugFlags (NtQueryInformationProcess)
• ProcessDebugPort (NtQueryInformationProcess)
• ProcessDebugObjectHandle (NtQueryInformationProcess)
• DebugObject (NtQueryObject)
• SystemKernelDebuggerInformation (NtQuerySystemInformation)
• SystemDebugControl (NtSystemDebugControl)
• NtClose (STATUS_INVALID_HANDLE/STATUS_HANDLE_NOT_CLOSABLE exceptions)
• ThreadHideFromDebugger (NtSetInformationThread)
• Protect DRx (HW BPs) (NtGetContextThread/NtSetContextThread)

Ambientes de teste

• Windows 10 x64 & x86
• Windows 8.1 x64 & x86
• Windows 7 x64 & x86 (SP1)
• Windows XP x86 (SP3)
• Windows XP x64 (SP1)

Compilação

1. Instale o Visual Studio 2022.
2. Instale o WDK10/WDK8/WDK7.
3. Abra TitanHide.sln e compile!

Requisitos

Você precisa desabilitar o PatchGuard e a imposição de assinatura de driver (DSE) antes de usar este driver.

Para desabilitar o PatchGuard você pode tentar um dos seguintes projetos:

• EfiGuard
• SandboxBootkit
• Shark
• UPGDSED (archived in 2019)

Para carregar o driver você pode habilitar o test signing:

bcdedit /set testsigning on

Instalação

1. Copie TitanHide.sys para %systemroot%\system32\drivers.
2. Execute o comando sc create TitanHide binPath= %systemroot%\system32\drivers\TitanHide.sys type= kernel para criar o serviço TitanHide.
3. Execute o comando sc start TitanHide para iniciar o serviço TitanHide.
4. Execute o comando sc query TitanHide para verificar se o TitanHide está em execução.

Para verificar se o TitanHide está funcionando corretamente, use o DebugView ou verifique C:\TitanHide.log.

Ocultação

Para o VMProtect 3.9.4 e superior você precisa alterar o nome do serviço para outra coisa. Por exemplo sc create NotTitanHide, o que contornará a 'detecção' mais recente deles. Após alterar o nome do serviço você precisará configurar o plugin com o seguinte comando no x64dbg:

TitanHideName NotTitanHide

Observações

• Ao usar o x64dbg, você pode usar o plugin TitanHide (disponível na página de download).
• NUNCA EXECUTE ESTE DRIVER EM UM SISTEMA DE PRODUÇÃO, SEMPRE USE UMA VM!