shadow-rs 🦀

shadow-rs — это руткит для ядра Windows, написанный на Rust, демонстрирующий продвинутые техники манипуляции ядром, используя при этом возможности безопасности и производительности Rust. Проект предназначен для образовательных и исследовательских целей.

Содержание

• Уведомление
• Возможности
• Установка
• Поддерживаемые платформы
• Инструкции по сборке
  • Драйвер
  • Клиент
• Инструкции по настройке
  • Включение тестового режима
  • Отладка через Windbg
  • Создание/Запуск службы
• Отказ от ответственности
• Участие в разработке shadow-rs
• Ссылки
• Лицензия
• Участники

Уведомление

[!IMPORTANT]
Проект находится в стадии разработки.

Возможности

Процесс

• ✅ Скрывать и показывать процессы.
• ✅ Изменять уровни подписи процессов для работы с Protected Processes (PP) и Protected Process Light (PPL).
• ✅ Защищать процессы от завершения и дампа памяти.
• ✅ Повышать привилегии процессов до SYSTEM, предоставляя полный административный доступ.
• ✅ Завершать целевые процессы.
• ✅ Выводить список всех защищённых и скрытых процессов.

Поток

• ✅ Скрывать и показывать потоки.
• ✅ Защищать потоки от завершения или приостановки.
• ✅ Выводить список всех защищённых и скрытых потоков

Драйвер

• ✅ Скрывать и показывать драйверы режима ядра.
• ✅ Перечислять все загруженные драйверы.
• ✅ Включать или отключать принудительную проверку подписи драйверов (DSE), чтобы разрешить загрузку неподписанных драйверов.
• ✅ Блокировать загрузку драйверов.

Обратные вызовы

• ✅ Выводить список зарегистрированных обратных вызовов для создания процессов, создания потоков, загрузки образов и операций с реестром.
• ✅ Удалять или восстанавливать определённые обратные вызовы.
• ✅ Выводить список всех удалённых обратных вызовов.

Разное

• ✅ Перехватывать нажатия клавиш с пользовательского ввода в реальном времени на уровне ядра.
• ✅ Отключать Microsoft-Windows-Threat-Intelligence (EtwTi).
• ✅ Очищать артефакты драйвера из дампов памяти в случае BSoD.
• ✅ Шифрование строк на этапе компиляции.
• ✅ Поддержка рефлексивной загрузки драйверов.

Выполнение кода в пользовательском режиме

• ✅ Внедрять шеллкод или DLL в процессы с помощью ZwCreateThreadEx.
• ✅ Внедрение асинхронных вызовов процедур (APC) для выполнения шеллкода или DLL в потоках, ожидающих вызова.
• ✅ Выполнять шеллкод в процессах с помощью Thread Hijacking.

Модуль

• ✅ Скрывать модули из списков памяти процессов.
• ✅ Перечислять все загруженные модули.

Реестр

• ✅ Скрывать и показывать ключи и значения реестра для предотвращения обнаружения и вмешательства.
• ✅ Применять защиту реестра для предотвращения удаления или перезаписи ключей и значений.

Сеть

• ✅ Скрывать и показывать сетевые порты от netstat и аналогичных средств мониторинга.

Установка

• Установите Rust здесь.
• Следуйте руководству Microsoft, чтобы настроить Rust для разработки драйверов ядра.

Поддерживаемые платформы

• ✅ Windows 10 / 11 (только x64)

Инструкции по сборке

Драйвер

Перейдите в каталог driver и соберите драйвер ядра:

cargo make default --release

[!IMPORTANT]
Примечание: первая сборка должна выполняться от имени администратора. Последующие сборки не требуют повышенных привилегий.

Чтобы включить поддержку маппинга для таких инструментов, как kdmapper, компилируйте с:

cargo make default --release --features mapper

Клиент

Перейдите в каталог client и соберите клиент пользовательского режима:

cargo build --release

Для совместимости с замапленными драйверами:

cargo build --release --features mapper

Инструкции по настройке

Включение тестового режима или режима тестовой подписи

bcdedit /set testsigning on

Создание / Запуск службы

Вы можете использовать диспетчер управления службами или OSR Driver Loader для загрузки вашего драйвера.

Отладка

Используйте Windbg для подключения к ядру и мониторинга активности драйвера.

bcdedit /debug on
bcdedit /dbgsettings net hostip:<IP> port:<PORT>

Участие в разработке shadow-rs

Чтобы внести вклад в shadow-rs, выполните следующие шаги:

1. Сделайте форк этого репозитория.
2. Создайте ветку: git checkout -b <branch_name>.
3. Внесите изменения и зафиксируйте их: git commit -m '<commit_message>'.
4. Отправьте в исходную ветку: git push origin <project_name> / <local>.
5. Создайте pull request.

В качестве альтернативы обратитесь к документации GitHub о том, как создать pull request.

Отказ от ответственности

Этот проект предназначен для образовательных и исследовательских целей. Злонамеренное использование программного обеспечения строго запрещено и не приветствуется. Я не несу ответственности за любой ущерб, причинённый неправильным использованием программного обеспечения.

Ссылки

Я хочу выразить благодарность этим проектам, которые вдохновили меня на создание shadow-rs и внесли вклад в некоторые функции:

• Hidden
• Nidhogg
• eagle-rs
• Banshee
• ReadWriteDriverSample

Другие важные ресурсы:

Эти материалы и исследования оказались бесценными для углубления моего понимания разработки ядра Windows:

• UnKnoWnCheaTs
• Reactos
• Blinding EDR On Windows
• Windows Kernel Programming - Pavel
• Rootkit Arsenal Escape Evasion Corners
• Rootkits Subverting Windows Greg Hoglund
• Rootkits Bootkits Reversing Malware Generation
• Memory Forensics
• Leveraging Rootkits for Post-Exploitation - Black Hat

Лицензия

Этот проект лицензирован по лицензии MIT. Подробности см. в файле LICENSE.

Участники