مذهل لتجاوز أنظمة EDR　

🛡️ موارد رائعة لتجاوز أنظمة EDR للاختراق الأخلاقي ⚔️

تقنية تجاوز أنظمة EDR ليست مخصصة للمهاجمين فقط. العديد من البرامج الضارة الآن تمتلك قدرات تجاوز EDR، وهي معرفة يجب أن يكون مختبري الاختراق والمستجيبين للحوادث على دراية بها أيضًا. هذا المستودع ليس مخصصًا لاستخدامه في تصعيد الهجمات. استخدمه للاختراق الأخلاقي.

PoC

• trickster0/TartarusGate: TartarusGate، تجاوز أنظمة EDR
• am0nsec/HellsGate: تنفيذ C الأصلي لتقنية Hell's Gate VX
  • يحتوي ملف PDF على ملخص جيد لتقنيات تجاوز EDR.
• Maldev-Academy/HellHall: إجراء استدعاءات نظام غير مباشرة ونظيفة
  • تقنية تسمى HellsGate، والتي تحدد رقم استدعاء النظام من خلال قيمة في الذاكرة، مقترنة بتقنية لاستدعاء استدعاء النظام بتحديد عنوان في NTDLL حيث يتم تنفيذ تعليمة syscall، دون استدعاء تعليمة syscall.
• TheD1rkMtr/UnhookingPatch: تجاوز خطافات EDR عن طريق تصحيح غلاف NT API، وحل SSNs وتعليمات syscall في وقت التشغيل
• RedTeamOperations/Journey-to-McAfee
• op7ic/EDR-Testing-Script: اختبر دقة برامج الكشف والاستجابة للنقاط الطرفية (EDR) باستخدام سكريبت بسيط ينفذ حمولات ATT&CK/LOLBAS/Invoke-CradleCrafter/Invoke-DOSfuscation المتنوعة
• zer0condition/mhydeath: إساءة استخدام mhyprotect لقتل برامج مكافحة الفيروسات / أنظمة EDR / أنظمة XDR / العمليات المحمية.
  • عرض توضيحي لإنهاء Crowdstrike Falcon و Microsoft Defender قسرًا
• Mr-Un1k0d3r/RedTeamCCode: مستودع كود C للفريق الأحمر
• BYOSI: تجاوز EDR بإحضار مترجم السكريبت الخاص بك
• Polydrop: هجوم BYOSI موسع، يستفيد من 12 لغة إضافية.
• senzee1984/EDRPrison: استفادة من برنامج تشغيل WFP شرعي لمنع وكلاء EDR من إرسال القياس عن بُعد
• S3cur3Th1sSh1t/Ruy-Lopez: دليل مفهوم (PoC) لنهج جديد يمنع تحميل DLLs بالكامل في عملية تم إنشاؤها حديثًا
  • يغطي هذا المنشور الخلفية ووصف التقنية.

أداة

• tanc7/EXOCET-AV-Evasion: EXOCET - أداة توصيل حمولة متخفية وغير قابلة للاكتشاف
• naksyn/Pyramid: أداة تساعد في العمل في النقاط العمياء لأنظمة EDR
• Yaxser/Backstab: أداة لقتل العمليات المحمية لمكافحة البرامج الضارة
• klezVirus/inceptor: إطار عمل لتجاوز أنظمة مكافحة الفيروسات / EDR مدفوع بالقوالب
• georgesotiriadis/Chimera: أداة تحميل جانبي للـ DLL تلقائية مع قدرات تجاوز EDR
• netero1010/EDRSilencer: أداة تستخدم منصة تصفية Windows (WFP) لمنع وكلاء الكشف والاستجابة للنقاط الطرفية (EDR) من الإبلاغ عن الأحداث الأمنية إلى الخادم.
• wavestone-cdt/EDRSandblast
• myzxcg/RealBlindingEDR: إزالة ردود اتصال نواة AV/EDR مثل ObRegisterCallbacks, CmRegisterCallback, MiniFilter Callback, PsSetCreateProcessNotifyRoutine Callback, PsSetCreateThreadNotifyRoutine Callback, PsSetLoadImageNotifyRoutine Callback...
• jthuraisamy/SysWhispers2: مولد استدعاءات نظام مباشرة لتجاوز خطافات API الخاصة بمساحة المستخدم
• klezVirus/SysWhispers3: توليد ملفات header/ASM يمكن للغرسات استخدامها لإجراء استدعاءات نظام مباشرة
• d1rkmtrr/dark-kill: كود وضع المستخدم وروت كيت خاص به يعمل بشكل دائم على قتل عمليات EDR بالاستفادة من قوة تسجيل ردود اتصال نواة منع إنشاء العملية و ZwTerminateProcess.
• thomasxm/BOAZ_beta: إطار عمل متعدد الطبقات لتجاوز أنظمة مكافحة الفيروسات / EDR

ورشة عمل

أكثر من كونها ورشة عمل لتجاوز EDR، فهي ورشة تطوير برامج ضارة لمختبري الاختراق.

• chvancooten/maldev-for-dummies: ورشة عمل حول تطوير البرامج الضارة
• BC-SECURITY/Beginners-Guide-to-Obfuscation
• chr0n1k/AH2021Workshop: ورشة عمل تطوير البرامج الضارة للفريق الأحمر
• WesleyWong420/RedTeamOps-Havoc-101: مواد ورشة العمل "عمليات الفريق الأحمر: Havoc 101"

عرض تقديمي

• رفع الحجاب، نظرة على MDE تحت الغطاء - مؤتمر FIRST 2022
• Dirty Vanity: نهج جديد لحقن الكود وتجاوز EDR - Black Hat Europe 2022
• talks/Diego Capriotti - DEFCON30 Adversary Village - Python vs Modern Defenses.pdf
• طوّر برنامجك الضار الخاص (RAT)
• دليل تجاوز EDR للفرق الحمراء - Karsten Nohl & Jorge Gimenez - Hack in the Box 2022 Singapore
• EDR Reloaded: مسح البيانات عن بُعد - Black Hat Asia 2024 | جدول العروض
• EvilEDR: إعادة استخدام EDR كأداة هجومية - USENIX Security 2025
  • يوضح كيف يمكن استخدام أنظمة EDR لأغراض هجومية، تنفيذ أوامر عشوائية، استخراج البيانات، وإضعاف الدفاعات. مستودع القطع الأثرية مستضاف على منصة Zenodo ويمكن الوصول إليه من خلال الرابط الدائم التالي: https://doi.org/10.5281/zenodo.15116409
• إخفاء الحمولات في .text العادي، تجاوز أنظمة EDR التي تستخدم إنتروبيا شانون للكشف - x33fcon 2024
  • مستودع الكود لهذا العرض
  • بعض المدونات ذات الصلة بهذا الموضوع:
    • https://redsiege.com/blog/2023/04/evading-crowdstrike-falcon-using-entropy/
    • https://redops.at/en/blog/meterpreter-vs-modern-edrs-in-2023
    • https://practicalsecurityanalytics.com/file-entropy/

مدونة

• العيش خارج النقطة العمياء - العمل في النقطة العمياء لأنظمة EDR | مدونة Naksyn
  • نوع الشخص الذي يعمل بجد في بايثون؛ يستخدم PEP 578 – خطافات تدقيق وقت التشغيل في بايثون.
• تجاوز حماية CrowdStrike Falcon EDR ضد تفريغ العمليات مثل lsass.exe | بواسطة bilal al-qurneh | Medium
  • القصة هي أنه يمكن استخدام أداة الطب الشرعي لتفريغ الذاكرة دون اكتشاف. هذا مثال على كيف يمكن استخدام أداة لأغراض مشروعة وليست أداة هجومية في هجوم دون اكتشافها.
• تجاوز CrowdStrike Falcon و MDE
• أنظمة EDR الحديثة ليست مثالية، تفشل في اكتشاف الهجمات الشائعة - The Record من Recorded Future News
  • تعليق على تقييم تجريبي لأنظمة أمان النقاط الطرفية ضد نواقل هجمات التهديدات المستمرة المتقدمة
• حكاية طرق تجاوز EDR | S3cur3Th1sSh1t
• Blindside: تقنية جديدة لتجاوز EDR باستخدام نقاط توقف الأجهزة - Cymulate
• مهاجمة EDR - الجزء 1
• مهاجمة EDR - الجزء 2
• الجانب المظلم من EDR: إعادة استخدام EDR كأداة هجومية | SafeBreach
  • على الأرجح نفس محتوى الجانب المظلم من EDR: إعادة استخدام EDR كأداة هجومية - Black Hat Asia 2024
  • مع التركيز على Cortex XDR من Palo Alto Networks، يقدم التقرير دراسة حالة حول كيف تحول EDR إلى برنامج ضار خفي وفريد ومستمر.
• تهديد صامت: أداة الفريق الأحمر EDRSilencer تعطل حلول أمان النقاط الطرفية | Trend Micro (الولايات المتحدة)

BYOVD

• اختبار تجاوز EDR يكشف مجموعة أدوات المبتز
• انسَ برامج التشغيل الضعيفة - المدير هو كل ما تحتاجه — Elastic Security Labs
• اجلب بابك الخلفي الخاص: كيف تسمح برامج التشغيل الضعيفة للمتسللين بالدخول - مدونة أمان VMware - VMware
• سيعود: المهاجمون ما زالوا يسيئون استخدام أداة Terminator ومتغيراتها – Sophos News
• تجاوز EDR من خلال برامج التشغيل المعاد توقيعها والتلاعب بوقت النظام
  • تمدد برامج التشغيل المعاد توقيعها (Retrosigned Drivers) التقنيات السابقة عن طريق تغيير ساعة النظام على الهدف لتحميل برامج تشغيل نواة ضارة تم توقيعها بشهادات توقيع متقاطع منتهية الصلاحية تم اختراقها تاريخيًا.
• ThanniKudam/TopazTerminator: مجرد قاتل EDR آخر
  • دليل مفهوم

صندوق رمل / حاوية

• العيش على الأرض؟ ماذا عن إحضار جزيرتك الخاصة؟ نظرة عامة على UNC1945 | Mandiant | مدونة Google Cloud
• اجلب الحاوية الخاصة بك: عندما تحول الحاويات المفتاح إلى تجاوز EDR - Speaker Deck
• اختراق صندوق الرمل: كشف الحقيقة وراء القطع الأثرية المختفية | JSAC 2025

macOS

• الدواخل لأنظمة EDR لأنظمة macOS و Linux | مدونة أمان Outflank
• التنفيذ في الذاكرة على macOS: القديم والجديد | Meta Red Team X

كتاب

• تجنب EDR | No Starch Press

سلاسل رائعة أخرى

• MrEmpy/Awesome-AV-EDR-XDR-Bypass: نصائح رائعة لتجاوز أنظمة مكافحة الفيروسات / EDR / XDR