AxHunter

PoC для семейства драйверов xhunter античита Wellbia XIGNCODE3 — xhunter1.sys v2023.12.7.78 (CVE-2026-3609) и xhunter2.sys v2026.6.1.192 (CVE-2026-15430).

Структура рабочего пространства

Рабочее пространство Cargo, три крейта:

AxHunter/
├── Cargo.toml               workspace manifest
├── axhunter-lsa/            shared crate — driver-agnostic LSA extraction (MemReader trait,
│                              LDR walk, BCrypt 3DES key extraction, LogonSessionList,
│                              WDigest). Consumed by both PoCs.
├── axhunter_v1/             xhunter1.sys v2023.12.7.78  (CVE-2026-3609)
└── axhunter_v2/             xhunter2.sys v2026.6.1.192  (CVE-2026-15430)

Каждый крейт PoC содержит собственный целевой бинарник драйвера (xhunter1.sys, xhunter2.sys) и — в axhunter_v2/src/ — модуль WBMF от Wellbia (wbmf_module.dll), извлечённый из живого процесса WindSlayer.exe.

Сборка

Из корня рабочего пространства:

cargo build --release              # builds both binaries + shared crate
cargo build --release -p AxHunter_v1
cargo build --release -p AxHunter_v2

Оба бинарника оказываются в target/release/:

target/release/AxHunter_v1.exe
target/release/AxHunter_v2.exe

Унифицированный CLI

Оба бинарника используют одни и те же флаги:

AxHunter_v1.exe -m {dump|kill|lpe|inject|all} [-t <pid|image>] [-d <device>] [-p <payload.bin>]
AxHunter_v2.exe -m {dump|kill|lpe|inject|all} [-t <pid|image>] [-d <device>] [-p <payload.bin>]

Значения по умолчанию для конкретного драйвера и подробности о режимах см. в README каждого крейта.

Сопутствующие статьи

• Hunting the Hunter — xhunter1.sys v2023.12.7.78. Соответствует axhunter_v1/.
• Hunting the Hunter II — xhunter2.sys v2026.6.1.192. Соответствует axhunter_v2/.

Сравнение

Свойство	xhunter1.sys v2023.12.7.78	xhunter2.sys v2026.6.1.192
CVE	CVE-2026-3609	CVE-2026-15430
Транспорт	IRP_MJ_WRITE, 624-байтовый незашифрованный кадр	IRP_MJ_WRITE, 1184-байтовый кадр с LCG-XOR-шифрованием
Магия кадра	0x345821AB	0x70506202 (MAGIC ^ SEED_KEY)
Аутентификация при открытии устройства	Отсутствует	Подписанный RSA-2048 PE-файл WBMF + Win32StartAddress внутри PE
Аутентификация на каждый запрос	Отсутствует	Блоб WBCC + итератор цепочки сертификатов
Эскалация PID-шлюза	cmd 777 + cmd 775	cmd 777 + cmd 779 + cmd 775
cmd 785 (создание PPL-хэндла)	ObOpenObjectByPointer(KernelMode)	идентично
cmd 787 (чтение из другого процесса)	Побайтовое копирование через KeStackAttachProcess	идентично
cmd 800 (убийство через подмену хэндла)	KeStackAttachProcess + ObSetHandleAttributes(KernelMode) + ZwClose	идентично
cmd 820 (инъекция в ядро)	Выделение RWX + копирование + RtlCreateUserThread (всё в ring 0)	идентично

Сопутствующие материалы

• CVE-2026-3609 — xhunter1.sys от v10.0.10011.16384 до v2023.12.7.78 (статья, устаревший PoC в CredsHunter).

Лицензия

MIT. См. LICENSE.