spectre

欢迎来到 Spectre Rootkit。这是一个概念验证的 Windows 内核模式 rootkit，我写了它，希望能够为红队使用解密 Windows 内核。Spectre Rootkit 利用合法的通信通道来接收来自 C2 的命令。您可以在 这里 阅读更多关于它如何工作的信息。本项目是我演讲《解密现代 Windows rootkit》的重点，该演讲在 Black Hat USA 2020 和 DEF CON 28 上进行了展示。

• spectre-kernel - 根目录的核心驱动程序项目。 - spectre-cli - C2 使用的 CLI 工具，用于控制受感染的机器。 - spectre-stager - 用于在受害机器上加载根目录的准备工具。 - spectre-stager-util - 将构建的驱动程序文件转换为 XOR 混淆的头部，供 spectre-stager 使用。

这个项目的主要动机是因为缺少针对 Windows 根套件的示例。您通常会发现红队工具示例位于用户模式，但核心模式的红队工具示例却很少。这个项目旨在作为一个参考点，特别是展示编写根套件的一种方法。我不但想编写一个根套件来帮助开发未来的红队工具，而且这个项目的次要目的是通过探索文档不全的内核部分并研究新技术来挑战自己。