SNEK Equinox

أود أن أشكر Nightmare-Eclipse على الإلهام (ليس شخصيًا) من مشروع UnDefend - https://web.archive.org/web/20260521145157/https://github.com/Nightmare-Eclipse/UnDefend:

الآن ومن المضحك بما فيه الكفاية، وجدت طريقة لخداع وحدة تحكم EDR على الويب لإظهار أن Defender يعمل بأحدث تحديث حتى لو لم يكن كذلك. كنت أفكر في نشر الكود ولكن بعد التفكير في الأمر، سيتسبب في ضرر كبير جدًا لذا أعتقد أنني سأبقي هذه الأشياء مخفية في الوقت الحالي.

- Nightmare-Eclipse

قد تحتاج إلى تعديل ملف البناء ليعمل بشكل صحيح على جهازك، فهو ليس عالميًا، بالتأكيد

إذن ماذا لدينا هنا؟؟

إنه تنفيذ لإثبات المفهوم (PoC) الذي يوضح نظريًا انتحال القياسات عن بُعد ضد Windows Defender EDR. يحاول إظهار هجوم حالة السباق TOCTOU على آلية تحديث توقيعات Defender. يجب أن يجعل لوحة التحكم تعرض حالة محمية، بينما الحماية معطلة.

لكن كل هذا نظري، عمليًا، لم يكن لدي أنا ولا أي من زملائي الوقت لاختبار هذا بشكل صحيح والتأكد من نجاحه من عدمه، وما العيوب التي قد يحويها، لذا فإن أي ملاحظات كالعادة محل تقدير.

كيف أقوم ببناء هذا؟؟

build.bat

الملفات الثنائية الناتجة: bin\run.exe, bin\Equinox.exe, bin\spoof.exe, bin\vers.exe

لن تحصل على أي ملفات مجمعة مسبقًا هذه المرة.

التنفيذ

الوضع غير المرتفع

bin\Equinox.exe

• يقفل ملفات التوقيعات لمنع تحميلها
• يبدو أن Defender لديه توقيعات لكنه لا يستطيع تحميلها
• يجب أن يتم تعطيل اكتشاف التهديدات المحلي بواسطته
• يجب أن تعرض وحدة التحكم السحابية آخر حالة مخزنة مؤقتًا (قد تظهر بصحة جيدة إذا لم يتم الاستعلام عنها مؤخرًا)

الوضع المرتفع

bin\run.exe

يتطلب صلاحيات المسؤول. التسلسل:

1. spoof.exe - يضبط قيم سجل الصحة
2. vers.exe - يضبط قيم سجل الإصدار
3. Equinox.exe - يقفل ملفات التوقيعات

لن أخوض في تفاصيل أكثر من هذا، يمكنكم أنتم معرفة الكثير منها بأنفسكم ;P