Hidden 🇺🇦

Hidden 是为了满足逆向工程和研究任务而开发的解决方案。这是一个带有用户态接口的 Windows 驱动程序，用于隐藏你 Windows 机器上的特定环境，例如已安装的 RCE 程序（如 procmon、wireshark）、VM 基础设施（如 vmware tools）等。

功能

• 隐藏注册表项和值
• 隐藏文件和目录
• 隐藏进程（实验性，可能不稳定）
• 保护特定进程
• 从隐藏和保护功能中排除特定进程
• 用于与驱动程序交互的用户态接口（库和 CLI）

等等

系统要求

Windows Vista 及以上版本，x86 和 x64

推荐的构建环境

• Visual Studio 2019
• Windows Driver Kit 10

构建

以下指南说明如何制作一个 Release win32 构建：

1. 使用 Visual Studio 打开 Hidden.sln
2. 以 Release、Win32 配置构建 Hidden Package 项目
3. 打开构建结果文件夹 <ProjectDir>\Release

安装

1. 在测试机器上禁用数字签名强制执行（bcdedit /set TESTSIGNING ON）并重启
2. 将 <ProjectDir>\Release\Hidden Package 中的文件复制到测试机器
3. 右键单击 Hidden.inf 并选择 安装
4. 启动驱动程序（sc start hidden）
5. 确保服务正在运行（sc query hidden）

重要事项：请记住，驱动程序的位数必须与操作系统的位数相同

隐藏

命令行工具 hiddencli 用于管理驱动程序。你可以使用它来隐藏和取消隐藏对象、更改驱动程序状态等。

要隐藏文件，请尝试命令：

hiddencli /hide file c:\Windows\System32\calc.exe

想隐藏目录？没问题：

hiddencli /hide dir "c:\Program Files\VMWare"

注册表项呢？

hiddencli /hide regkey "HKCU\Software\VMware, Inc."

也许是一个进程？

hiddencli /hide pid 2340

通过进程映像名称？

hiddencli /hide image apply:forall c:\Windows\Explorer.EXE

要获取完整帮助，只需输入：

hiddencli /help