Obex - حظر DLL

Obex هي أداة/تقنية PoC يمكن استخدامها لمنع تحميل وحدات غير مرغوب فيها (مثل EDR أو مكتبات المراقبة) في عملية تم تشغيلها حديثًا أثناء تهيئة العملية أو في وقت التشغيل.

الميزات

• يشغّل أي عملية مع وسائط تحت تحكم المُنقّح.
• يحظر قائمة قابلة للتكوين من ملفات DLL بالاسم.
• يعمل مع مكتبات DLL عند بدء التشغيل ومكتبات DLL المُحمّلة ديناميكيًا (LoadLibrary*).
• مكتوب بلغة C خالصة دون أي تبعيات خارجية.

الاستخدام

obex.exe "<command with args>" [dll1.dll,dll2.dll,...]

• إذا لم يتم توفير قائمة DLL، يتم استخدام قائمة حظر افتراضية (في وقت كتابة هذا الدليل فقط amsi.dll).
• أسماء DLL غير حساسة لحالة الأحرف.

كيف يعمل؟

إلى جانب تحليل وسائط سطر الأوامر، يقوم PoC بما يلي (بنظرة عامة تقريبية):

لفهم أعمق، راجع الكود (بالطبع) أو تواصل معي عبر Discord أو تويتر.

لقطة الشاشة

تُظهر لقطة الشاشة obex وهو يشغّل powershell.exe مع قائمة الحظر الافتراضية (فقط amsi.dll). بالإضافة إلى ذلك، يمكنك رؤية قائمة وحدات العملية المُنشأة للتحقق من عدم تحميل amsi.dll.