🗣️ Что такое недокументированные функции? Это внутренние API, которые Microsoft не раскрывает публично и не рекомендует использовать в пользовательских приложениях. Однако они существуют в системе и предоставляют доступ к низкоуровневым механизмам ОС.

Среди этих функций можно найти такие, которые позволяют взаимодействовать с ядром системы, драйверами, процессами и ресурсами напрямую:

🟢 NtLoadDriver:
Эта функция используется для загрузки драйверов в систему. Злоумышленник может использовать её для внедрения вредоносного драйвера в ядро, обходя стандартные проверки и ограничения.

🟢 NtCreateThreadEx:
Эту функцию часто используют для создания скрытых потоков в системе. Недокументированный параметр позволяет создавать потоки с привилегиями уровня ядра, что открывает двери для инъекций кода и эскалации привилегий.

🟢 MmMapIoSpace:
Эта функция предоставляет доступ к физической памяти, позволяя отображать её в виртуальное адресное пространство. Это может быть использовано злоумышленниками для модификации ядра, обхода систем защиты и установки персистентных угроз.

Рассмотрим практические кейсы:
🌟 Как с помощью NtLoadDriver загрузить свой драйвер и какие риски это несет для системы.
🌟 Как NtCreateThreadEx используется для создания скрытых потоков, с обходом антивирусных решений.
🌟 Как работает MmMapIoSpace и как получить доступ к физической памяти для анализа и модификации данных в ядре.

➡️ Читать подробнее