Ange noir rootkit
Black Angel est un ROOTKIT du mode du noyau Windows 11/10 x64. RootKit peut être chargé de DSE activé tout en conservant sa pleine fonctionnalité.
Conçu pour les équipes rouges.
Fonctionnalités ROOTKIT
RootKit peut être chargé de KDMapper pour contourner DSE, Black Angel Loader peut ne pas encore fonctionner correctement. Project Driver-Hijack est utilisé pour maintenir les fonctionnalités complètes du pilote telles que l'assistance de rappel.
- Contournement DSE (pas besoin de tourner la signature du test)
Contournement de KPP- Masquer les processus
- Masquer les ports (TCP / UDP)
- Élévation de l'autorisation du processus
- Protection des processus
- ShellCode Injecteur (unkillable shellcode. Même si le processus meurt, ShellCode peut toujours fonctionner)
- (TODO) masquer les fichiers / répertoires
- (TODO) Masquer les clés de registre
Mise en œuvre
Vous pouvez facilement implémenter les appels RootKit en copie et en collant le fichier d'en-tête BlackAngel dans votre projet.
Démonstration
Vous pouvez trouver une démonstration rootkit sur ma chaîne
Informations supplémentaires
- N'oubliez pas de modifier le décalage actif_process_links correspondant à vos versions Windows. Le décalage actuel a été testé sur Windows 10/11 Pro 21h2.
- Il peut y avoir encore des problèmes de stabilité!
- L'injecteur de shellcode km est op. Si vous injectez ShellCode dans un processus protégé, aucun antivirus ne le supprime>: D Les codes de shell simples tels que Metasploit Shell_Reverse_TCP sont capables de fonctionner même si le processus est terminé.
Ressources:
- kdmapper
- chauffeur
- Cronos-rootkit
