Terminator

• Reproduzindo a técnica da Spyboy, que envolve encerrar todos os processos de EDR/XDR/AVs abusando do driver zam64.sys
• A Spyboy vendia o software Terminator por US$ 3.000 para mais detalhes
• a amostra é proveniente de loldrivers

uso

• a versão compilada pode ser encontrada AQUI

• Coloque o driver Terminator.sys no mesmo caminho do executável

• execute o programa como administrador

• mantenha o programa em execução para impedir que o serviço reinicie os anti-malwares

  

detalhes técnicos

• O driver contém algum mecanismo de proteção que só permite que IDs de processo confiáveis enviem IOCTLs. Sem adicionar seu ID de processo à lista de confiáveis, você receberá uma mensagem 'Access Denied' toda vez. No entanto, isso pode ser facilmente contornado enviando um IOCTL com o nosso PID para ser adicionado à lista de confiáveis, o que então nos permitirá controlar vários IOCTLs críticos