Terminator

• Воспроизведение метода Spyboy, который заключается в завершении всех процессов EDR/XDR/AV путем злоупотребления драйвером zam64.sys
• Spyboy продавал программу Terminator по цене $3,000 подробнее
• образец взят из loldrivers

использование

• скомпилированную версию можно найти ЗДЕСЬ

• Поместите драйвер Terminator.sys в тот же каталог, где находится исполняемый файл

• запустите программу от имени администратора

• оставьте программу запущенной, чтобы служба не перезапускала антивирусные средства

  

технические детали

• Драйвер содержит защитный механизм, который разрешает отправку IOCTL только доверенным идентификаторам процессов (PID). Если не добавить ваш PID в список доверенных, вы будете получать сообщение 'Access Denied' каждый раз. Однако это легко обойти, отправив IOCTL с нашим PID для добавления в список доверенных, что затем позволит нам управлять многочисленными критическими IOCTL