Kernel-Mode

🔍 Contexte Publié le 21 juin 2026 sur GitHub (struppigel/hedgehog-tools), ktrace est un outil de traçage d’API pour drivers Windows en mode noyau, développé à l’aide d’une approche semi-automatisée (“vibe-coded”) combinant analyse manuelle et génération assistée par IA. 🛠️ Description de l’outil ktrace s’appuie sur l’émulateur Speakeasy (speakeasy-emulator) pour émuler l’exécution de fichiers .sys (drivers Windows) et capturer les appels aux API du noyau. L’outil a été conçu et validé à partir de l’analyse manuelle d’environ 20 rootkits en mode noyau et drivers, avec un corpus de test de 100 drivers soumis à un timeout de 30 secondes par échantillon. ...

🔍 Contexte Publié le 20 mars 2026 par Nextron Systems, ce rapport présente une analyse technique approfondie de RegPhantom, un rootkit Windows opérant en mode noyau, découvert et suivi sur une période allant de juin à août 2025. 🧩 Description de la menace RegPhantom est un driver Windows signé (.sys) fonctionnant comme un rootkit furtif. Son mécanisme central repose sur l’utilisation du registre Windows comme canal de communication covert entre un processus usermode et le noyau : ...