ЧИТАТЬ ПАМЯТЬ.
НЕ ОСТАВЛЯТЬ СЛЕДОВ.
Нативное ядро на C++: indirect syscalls, manual mapping, три канала инжекта, вакуум PE-заголовков. Подписанные payload'ы, kill-switch с сервера, оффлайн-грейс. Терминал, а не игрушка.
ЧТО ВНУТРИ
INDIRECT SYSCALLS
SSN резолвятся из EAT ntdll по хешу, вызов уходит через свежий stub в собственной RX-странице. Хуки на Zw* слепы.
MANUAL MAPPING
Образ маппится руками: релоки, IAT, PIC-stub зовёт DllMain. Модуля нет в PEB-списке — list-walkers не видят ничего.
ТРИ КАНАЛА
Remote thread, APC во все потоки, manual map. Синхронный вердикт или тихая очередь — под задачу и под защиту цели.
VACUUM + TWIN
DOS-заголовок и NT-сигнатура стираются в цели; поверх пишется идентичность системной DLL. Сканы видят мусор или доверие.
ANTI-DEBUG ×11
PEB, Dr-регистры с Dr7-гейтом, debug object count по таблице хендлов, kernel debugger, родитель, тайминг. Стек, а не одна проверка.
ПОДПИСИ
Манифесты payload'ов и обновлений подписаны Ed25519-ключом с бенча. Сервер не может подсунуть чужие байты — только хранить.
АРХИТЕКТУРА ДОВЕРИЯ
CONTENT KEY
Приватный Ed25519 живёт только у оператора. Компрометация сервера не даёт推送 злой payload: подпись не подделать.
TLS PIN
Клиент пиннит SPKI origin-сертификата. MITM с любым другим сертификатом падает на handshake, CA-фолбэка нет намеренно.
KILL-SWITCH
Live-doc с сервера подписан OPS-ключом с TTL 300s. Статус DETECTED закрывает инжект у всех клиентов в интервал поллинга.
ШИФР НА ДИСКЕ
Payload'ы лежат на сервере как AES-256-GCM ciphertext. Диск, AV-сканы и случайные скачивания видят шум.
HWID-ПРИВЯЗКА
Сессии и подписки авторитетны на сервере. Логин с чужой машины — hwid_locked, без исключений и саппорт-танцев.
ОФФЛАЙН-ГРЕЙС
Провод умер — лаунчер работает из локального зеркала. Сервер вернулся — состояние сверяется с авторитетом.