Возможности руткита

Руткит может быть загружен с помощью kdmapper для обхода DSE, загрузчик Black Angel может работать пока не полностью корректно. Проект driver-hijack используется для сохранения полной функциональности драйвера, такой как поддержка колбэков.

• Обход DSE (нет необходимости включать test signing)
• Обход KPP
• Скрытие процессов
• Скрытие портов (TCP/UDP)
• Повышение привилегий процесса
• Защита процесса
• Инжектор шеллкода (Неубиваемый шеллкод. Даже если процесс умирает, шеллкод может продолжать работать)
• (TODO) Скрытие файлов/каталогов
• (TODO) Скрытие ключей реестра

Реализация

Вы можете легко реализовать вызовы руткита, скопировав и вставив заголовочный файл BlackAngel в свой проект.

Демонстрация

Демонстрацию руткита вы можете найти на моём канале

Дополнительная информация

• Не забудьте изменить смещение ACTIVE_PROCESS_LINKS в соответствии с вашей версией Windows. Текущее смещение протестировано на Windows 10/11 Pro 21H2.
• Возможны проблемы со стабильностью!
• KM-инжектор шеллкода имба. Если вы внедрите шеллкод в защищённый процесс, ни один антивирус его не удалит >:D Простые шеллкоды, такие как Metasploit shell_reverse_tcp, способны работать, даже если процесс завершён.

Ресурсы:

• kdmapper
• driver-hijack
• Cronos-Rootkit