Black Angel Rootkit

Black Angel é um rootkit em modo kernel para Windows 11/10 x64. O rootkit pode ser carregado com DSE habilitado mantendo toda a sua funcionalidade.

Projetado para Red Teams.

Recursos do Rootkit

O rootkit pode ser carregado com kdmapper para contornar o DSE; o Black Angel Loader pode ainda não funcionar corretamente. O projeto driver-hijack é usado para manter toda a funcionalidade do driver, como suporte a callbacks.

DSE Bypass (Não é necessário ativar a assinatura de teste)
~~KPP Bypass~~
Ocultar processos
Ocultar portas (TCP/UDP)
Elevação de permissão de processos
Proteção de processos
Injetor de shellcode (Shellcode invulnerável. Mesmo que o processo morra, o shellcode ainda pode ser executado)
(TODO) Ocultar arquivos/diretórios
(TODO) Ocultar chaves de registro

Implementação

Você pode implementar facilmente as chamadas do rootkit copiando e colando o arquivo cabeçalho BlackAngel em seu projeto.

Demonstração

Você pode encontrar a demonstração do rootkit no meu canal

Informações Adicionais

Lembre-se de alterar o offset ACTIVE_PROCESS_LINKS correspondente às suas versões do Windows. O offset atual foi testado no Windows 10/11 Pro 21H2.
Ainda pode haver problemas de estabilidade!
O injetor de shellcode em modo kernel é OP. Se você injetar shellcode em um processo protegido, nenhum antivírus o removerá >:D Shellcodes simples, como o shell_reverse_tcp do Metasploit, são capazes de funcionar mesmo se o processo for encerrado.

Black-Angel-Rootkit

Mais Populares