针对 Wellbia XIGNCODE3 反作弊 xhunter 驱动家族的 PoC —— xhunter1.sys v2023.12.7.78（CVE-2026-3609）和 xhunter2.sys v2026.6.1.192（CVE-2026-15430）。
Cargo 工作区，包含三个 crate：
AxHunter/
├── Cargo.toml workspace manifest
├── axhunter-lsa/ shared crate — driver-agnostic LSA extraction (MemReader trait,
│ LDR walk, BCrypt 3DES key extraction, LogonSessionList,
│ WDigest). Consumed by both PoCs.
├── axhunter_v1/ xhunter1.sys v2023.12.7.78 (CVE-2026-3609)
└── axhunter_v2/ xhunter2.sys v2026.6.1.192 (CVE-2026-15430)
每个 PoC crate 都自带其目标驱动二进制文件（xhunter1.sys、xhunter2.sys），并且在 axhunter_v2/src/ 中，还包含从活跃的 WindSlayer.exe 进程中提取的 Wellbia WBMF 模块（wbmf_module.dll）。
在工作区根目录下执行：
cargo build --release # builds both binaries + shared crate
cargo build --release -p AxHunter_v1
cargo build --release -p AxHunter_v2
两个二进制文件都会生成到 target/release/：
target/release/AxHunter_v1.exe
target/release/AxHunter_v2.exe
两个二进制文件共享相同的标志：
AxHunter_v1.exe -m {dump|kill|lpe|inject|all} [-t <pid|image>] [-d <device>] [-p <payload.bin>]
AxHunter_v2.exe -m {dump|kill|lpe|inject|all} [-t <pid|image>] [-d <device>] [-p <payload.bin>]
各驱动特定的默认值和模式详情请参阅每个 crate 的 README。
xhunter1.sys v2023.12.7.78。对应 axhunter_v1/。xhunter2.sys v2026.6.1.192。对应 axhunter_v2/。| 属性 | xhunter1.sys v2023.12.7.78 | xhunter2.sys v2026.6.1.192 |
|---|---|---|
| CVE | CVE-2026-3609 | CVE-2026-15430 |
| 传输 | IRP_MJ_WRITE，624 字节明文帧 | IRP_MJ_WRITE，1184 字节 LCG-XOR 加密帧 |
| 帧魔数 | 0x345821AB | 0x70506202（MAGIC ^ SEED_KEY） |
| 设备打开认证 | 无 | WBMF RSA-2048 签名 PE + PE 内 Win32StartAddress |
| 每请求认证 | 无 | WBCC blob + 证书链迭代器 |
| PID 门控升级 | cmd 777 + cmd 775 | cmd 777 + cmd 779 + cmd 775 |
| cmd 785（PPL 句柄铸造） | ObOpenObjectByPointer(KernelMode) | 相同 |
| cmd 787（跨进程读取） | KeStackAttachProcess 字节复制 | 相同 |
| cmd 800（句柄覆盖终止） | KeStackAttachProcess + ObSetHandleAttributes(KernelMode) + ZwClose | 相同 |
| cmd 820（内核注入） | RWX 分配 + 复制 + RtlCreateUserThread（全部 ring 0） | 相同 |
xhunter1.sys v10.0.10011.16384 至 v2023.12.7.78（文章，旧版 PoC 位于 CredsHunter）。MIT。参见 LICENSE。