Utiliza irp hooking de toda la vida, esto es facilmente detectable. lo que las herramientas de seguridad quizas no lo contemplan.
Bueno, en realidad no lo detectan porque saltan dos veces, la primera dentro del "rango" del driver victima (ya que no sale, no detecta hook) y luego salta a su propio código.
... las herramientas antirookit incorporan su detección para seguir hooks en apis en ring3 o ring0 pero no ha sido empleado para seguir hooks en las dispatch routine.
Creía que hacían eso siempre (con ais y con IRP's). Aunque, a mi parecer, es una técnica algo vieja, no se como a EP_X0FF se le pudo pasar eso
Se agradece el artículo
Autor
En línea
