voidsyscall

English | 简体中文 | 조선어 | Русский

Zero WinAPI. Cada primitiva NT é resolvida em tempo de execução a partir da ntdll em memória — instruções SYSCALL emitidas diretamente via stubs de assembly Plan9, sem tabela de importação, sem tocar nos hooks de usermode da ntdll. C2 sobre HTTPS / DNS / ICMP, AES-256-GCM por mensagem. Nativo para Windows. Builds para Linux. Builds para macOS.

Esta não é uma biblioteca wrapper de syscalls. É um framework de implantação completo onde cada operação — desde injetar código até ler arquivos até persistir no registro — passa por syscalls Nt* brutas resolvidas no boot a partir da tabela de exportação da ntdll atual. Não existem chamadas WinAPI no binário. Nada para um EDR hookar em usermode.

---

O que há dentro

Motor de syscalls

• Resolução de SSN em tempo de execução: PEB → LDR → base da ntdll → tabela de exportação PE → correspondência de hash djb2 → varredura de prólogo para B8 xx xx 00 00 0F 05 (direto) ou 4C 8B D1 B8 xx xx 00 00 0F 05 (Hells Gate). Cada nome de função é hasheado em tempo de compilação — sem strings em texto claro no binário.
• Syscall direta: asm Plan9 (asm_amd64.s) carrega o SSN em EAX, define 7 argumentos manualmente, executa SYSCALL. Retorno via RAX/RDX.
• Syscall indireta: Localiza um gadget 0F 05 C3 (syscall;ret) dentro da ntdll, chama através dele. A armadilha da CPU cai dentro da ntdll — a pilha de chamadas mostra frames da ntdll, não frames do implante. Nenhum hook de usermode sobrevive.
• Fingerprint de SSN: Despeja todos os SSNs resolvidos da build atual da ntdll, gera um hash de fingerprint. Exporta como hex, importa em outra máquina. Detecta incompatibilidades de build antes que elas te queimem.
• Unhook: Bloqueia .text como RWX, copia os bytes originais da ntdll mapeada do disco, restaura a proteção, descarrega o icache, aniquila o cache de SSN. Todo hook de usermode colocado por qualquer EDR desaparece.

Injeção — 4 métodos, rotação polimórfica

O agente alterna entre técnicas de injeção automaticamente. Cada chamada usa um método diferente — duas injeções nunca parecem iguais na perícia forense.

Método	Como funciona	Por que é furtivo
Mapeamento de seção	NtCreateSection → NtMapViewOfSection (remoto) → NtCreateThreadEx	Sem alocação RWX no VAD. A seção é respaldada por arquivo. Scanners de memória veem PAGE_EXECUTE_READ, não PAGE_EXECUTE_READWRITE.
Process hollow	NtCreateUserProcess (suspenso) → NtSuspendProcess → zera a base da imagem → aloca + escreve shellcode → NtSetContextThread (RIP = shellcode) → NtResumeProcess	O processo aparece como um svchost.exe legítimo no taskmgr. Apenas o conteúdo da memória difere.
Enfileiramento de APC	Enumera threads via NtQuerySystemInformation → NtOpenThread → NtQueueApcThread	Nenhuma thread nova criada. Nenhum TEB novo. Nenhuma alocação de pilha nova. Dispara quando a thread entra em espera alertável.
Module stomping	Aloca no alvo → escreve cabeçalho PE mínimo + shellcode → NtCreateThreadEx no ponto de entrada	A lista de módulos mostra um nome de DLL plausível. O cabeçalho PE é válido o suficiente para enganar a enumeração de módulos.

Anti-análise — 13+ métodos de detecção

Executa todas as verificações, retorna um relatório de ameaça pontuado. Auto-destruição em Crítico.

Verificação	Método
Detecção de VM	Varredura de assinatura de hipervisor na folha CPUID 0x40000000 (VMware, VirtualBox, Hyper-V, KVM, Xen, QEMU, Parallels) + fallback na folha 0x40000001
Detecção de sandbox	Contagem de CPUs, artefatos de registro (VMware Tools, VBox Guest Additions, serviços VMware/VBox), varredura de processos de sandbox (mais de 30 nomes conhecidos: wireshark, procmon, x64dbg, ida, etc.)
Detecção de depurador	PEB.BeingDebugged, PEB.NtGlobalFlag, flags de depuração do heap, ProcessDebugPort, ProcessDebugObjectHandle, ProcessDebugFlags, breakpoint de hardware DR0-7, verificação de single-step por temporização
Anomalia de temporização	Baseada em RDTSC: 50 amostras de latência de NtQuerySystemInformation, média/desvio padrão, sinaliza se mais de 10% das amostras excederem variância de 3σ. Detecta sobrecarga de instrumentação.
Evasão de PEB	Corrige BeingDebugged, NtGlobalFlag, flags de ProcessHeap, DebugPort, ThreadHideFromDebugger — tudo via leituras do segmento GS + NtWriteVirtualMemory. Sem chamadas de API.

Operações de token

Tudo via syscalls Nt*, sem WinAPI.

• EnablePrivilege(index) — define qualquer privilégio por LUID
• EnableAllTokenPrivileges() — 20 privilégios de uma vez (Debug, Impersonate, TCB, Backup, Restore, etc.)
• GetProcessTokenIntegrityLevel() — consulta integridade obrigatória
• StealProcessToken(pid) — abre + duplica o token de outro processo
• ImpersonateThread() / RevertToSelf()

Operações de VAD

• EnumVirtualMemory() — percorre todas as regiões virtuais via NtQueryVirtualMemory
• FindWritableExecRegions() — encontra regiões comprometidas PAGE_EXECUTE_READWRITE
• HideRegion() — define PAGE_NOACCESS para ocultar memória de scanners
• UnhideRegion() — restaura a proteção original

E/S de arquivos — todas syscalls Nt*

NtCreateFile → NtReadFile / NtWriteFile → NtClose. Zero chamadas a CreateFileA, ReadFile, WriteFile ou DeleteFileW. ReadFileContents(), WriteFileContents(), DeleteFileNt(), FileExists().

Persistência no registro — todas syscalls Nt*

NtCreateKey → NtSetValueKey. AddRunKeyPersistence(), RemoveRunKeyPersistence(). Sem RegCreateKeyEx, RegSetValueEx ou quaisquer chamadas Advapi32.

Operações de handle

• EnumerateSystemHandles() — todos os handles abertos no sistema via NtQuerySystemInformation(SystemHandleInformation)
• FindEDRHandles() — compara PIDs proprietários com mais de 30 nomes conhecidos de processos EDR (MsSense, CrowdStrike, Sentinel, Cylance, Carbon Black, etc.)
• CloseEDRHandles() — fecha handles de monitoramento que o EDR colocou no seu processo
• IsProcessMonitored() — verificação booleana: estamos sendo observados?

Criptografia de memória

• Vault: Cifra XOR em memória com re-chaveamento automático por temporizador. Texto simples nunca armazenado em bruto. O re-chaveamento descriptografa → gera nova chave → recriptografa. Dumps forenses de heap entre intervalos de re-chaveamento obtêm lixo.
• SecureDelete: limpeza de 3 passagens (aleatório → zeros → uns → zeros) antes de NtFreeVirtualMemory.
• StackEncrypt: Criptografa buffers alocados na pilha antes do retorno. A reutilização do quadro da pilha torna a análise forense não confiável.

Patches de AMSI / ETW / evasão

• PatchAMSI() — AmsiScanBuffer → MOV EAX, 0; RET
• PatchETW() — EtwEventWrite → RET
• PatchNtTraceEvent() — NtTraceEvent → RET
• PatchDbgUiRemoteBreakin() — breakin de thread → RET
• PatchInstrumentationCallbacks() — ThreadHideFromDebugger

Canais de C2