r77 Rootkit

无文件 ring 3 Rootkit

r77 是一个 ring 3 的 Rootkit，可以隐藏一切：

文件、目录
进程及 CPU/GPU 使用率
注册表键和值
服务
TCP 和 UDP 连接
交接点、命名管道、计划任务

通过前缀隐藏

所有以 "$77" 开头的内容都会被隐藏。

配置系统

动态配置系统允许根据 PID 和名称隐藏进程，根据 完整路径 隐藏文件系统项，隐藏特定端口的 TCP 和 UDP 连接等。

配置位于 HKEY_LOCAL_MACHINE\SOFTWARE\$77config，任何进程无需提升权限即可写入。该键的 DACL 设置为授予任何用户完全访问权限。

此外，$77config 键被 Rootkit 隐藏。

安装程序

部署 r77 只需要一个文件：Install.exe。执行它会在系统上持久化 r77 并注入所有正在运行的进程。

Uninstall.exe 会干净彻底地从系统中移除 r77。

Install.shellcode 是安装程序的 shellcode 等效文件。这样，无需释放 Install.exe 即可集成安装。只需将 shellcode 加载到内存中，转换为函数指针并执行：

int main()
{
	// 1. Load Install.shellcode from resources or from a BYTE[]
	// Ideally, encrypt the file and decrypt it here to avoid scantime detection.
	LPBYTE shellCode = ...

	// 2. Make the shellcode RWX.
	DWORD oldProtect;
	VirtualProtect(shellCode, shellCodeSize, PAGE_EXECUTE_READWRITE, &oldProtect);

	// 3. Cast the buffer to a function pointer and execute it.
	((void(*)())shellCode)();

	// This is the fileless equivalent to executing Install.exe.

	return 0;
}

执行流程

Rootkit 驻留在系统内存中，不向磁盘写入任何文件。这是通过多个阶段实现的。

此图显示了从执行安装程序到 Rootkit DLL 在每个进程中运行的每个阶段。文档中有一章详细介绍了每个阶段的实现。

AV/EDR 逃避

使用了多种 AV 和 EDR 逃避技术：

AMSI 绕过： PowerShel内联脚本通过修补 amsi.dll!AmsiScanBuffer 使其始终返回 AMSI_RESULT_CLEAN 来禁用 AMSI。使用多态性来规避对 AMSI 绕过的签名检测。
DLL 解钩： 由于 EDR 解决方案通过钩子 ntdll.dll 监控 API 调用，因此需要通过从磁盘加载全新的 ntdll.dll 副本并恢复原始节来移除这些钩子。否则，进程注入会被检测到。