HyperDeceit

Este repositório contém o código-fonte completo do projeto HyperDeceit, que é uma biblioteca que permite que você se passe por Hyper-V e intercepte hiperchamadas feitas pelo kernel do Windows.

Post do blog: https://reversing.info/posts/hyperdeceit/

Aviso

O código não passou por uma revisão de código adequada e, portanto, pode conter inconsistências; por favor, crie um novo issue / pull request para quaisquer adições/correções.

Implementações

Os seguintes recursos estão prontos para serem interceptados de imediato:

• Descarregamento de TLB
• Suspensão / desligamento
• Troca de espaço de endereçamento
• Spinlock

Recursos que ainda não foram adicionados e que há planos de adicionar posteriormente (Sinta-se à vontade para implementar e criar um novo PR):

• IPI
• ???

Compatibilidade

• Suporta apenas versões do Windows, do Windows 10 1709 ao Windows 11 22H2.

Notas

• Includes/HyperDeceit.hpp é o arquivo de cabeçalho que deve ser incluído no seu projeto com a biblioteca de saída vinculada para usar o HyperDeceit.
• Informações de bugcheck

  Código	Motivo
  0xBAD00001	Versão do Windows não suportada.
  0xBAD00002	O endereço base do kernel fornecido era nulo.
  0xBAD00003

Exemplos

• Yumekage é uma prova de conceito demonstrativa para criar regiões de memória ocultas dentro de um processo.

Créditos

• Vyacheslav Patkov pelo Hacker Disassembler Engine (HDE).