مذهل لتجاوز أنظمة EDR　

🛡️ موارد رائعة لتجاوز أنظمة EDR للاختراق الأخلاقي ⚔️

تقنية تجاوز أنظمة EDR ليست مخصصة للمهاجمين فقط. العديد من البرامج الضارة الآن تمتلك قدرات تجاوز EDR، وهي معرفة يجب أن يكون مختبري الاختراق والمستجيبين للحوادث على دراية بها أيضًا. هذا المستودع ليس مخصصًا لاستخدامه في تصعيد الهجمات. استخدمه للاختراق الأخلاقي.

PoC

• trickster0/TartarusGate: TartarusGate، تجاوز أنظمة EDR
• am0nsec/HellsGate: تنفيذ C الأصلي لتقنية Hell's Gate VX
  • يحتوي ملف PDF على ملخص جيد لتقنيات تجاوز EDR.
• Maldev-Academy/HellHall: إجراء استدعاءات نظام غير مباشرة ونظيفة
  • تقنية تسمى HellsGate، والتي تحدد رقم استدعاء النظام من خلال قيمة في الذاكرة، مقترنة بتقنية لاستدعاء استدعاء النظام بتحديد عنوان في NTDLL حيث يتم تنفيذ تعليمة syscall، دون استدعاء تعليمة syscall.
• TheD1rkMtr/UnhookingPatch: تجاوز خطافات EDR عن طريق تصحيح غلاف NT API، وحل SSNs وتعليمات syscall في وقت التشغيل
• RedTeamOperations/Journey-to-McAfee
• op7ic/EDR-Testing-Script: اختبر دقة برامج الكشف والاستجابة للنقاط الطرفية (EDR) باستخدام سكريبت بسيط ينفذ حمولات ATT&CK/LOLBAS/Invoke-CradleCrafter/Invoke-DOSfuscation المتنوعة
• zer0condition/mhydeath: إساءة استخدام mhyprotect لقتل برامج مكافحة الفيروسات / أنظمة EDR / أنظمة XDR / العمليات المحمية.
  • عرض توضيحي لإنهاء Crowdstrike Falcon و Microsoft Defender قسرًا
• Mr-Un1k0d3r/RedTeamCCode: مستودع كود C للفريق الأحمر
• BYOSI: تجاوز EDR بإحضار مترجم السكريبت الخاص بك
• Polydrop: هجوم BYOSI موسع، يستفيد من 12 لغة إضافية.
• senzee1984/EDRPrison: استفادة من برنامج تشغيل WFP شرعي لمنع وكلاء EDR من إرسال القياس عن بُعد
• S3cur3Th1sSh1t/Ruy-Lopez: دليل مفهوم (PoC) لنهج جديد يمنع تحميل DLLs بالكامل في عملية تم إنشاؤها حديثًا
  • يغطي هذا المنشور الخلفية ووصف التقنية.

أداة

• tanc7/EXOCET-AV-Evasion: EXOCET - أداة توصيل حمولة متخفية وغير قابلة للاكتشاف
• naksyn/Pyramid: أداة تساعد في العمل في النقاط العمياء لأنظمة EDR
• Yaxser/Backstab: أداة لقتل العمليات المحمية لمكافحة البرامج الضارة
• klezVirus/inceptor: إطار عمل لتجاوز أنظمة مكافحة الفيروسات / EDR مدفوع بالقوالب
• georgesotiriadis/Chimera: أداة تحميل جانبي للـ DLL تلقائية مع قدرات تجاوز EDR
• netero1010/EDRSilencer: أداة تستخدم منصة تصفية Windows (WFP) لمنع وكلاء الكشف والاستجابة للنقاط الطرفية (EDR) من الإبلاغ عن الأحداث الأمنية إلى الخادم.
• wavestone-cdt/EDRSandblast
• myzxcg/RealBlindingEDR: إزالة ردود اتصال نواة AV/EDR مثل ObRegisterCallbacks, CmRegisterCallback, MiniFilter Callback, PsSetCreateProcessNotifyRoutine Callback, PsSetCreateThreadNotifyRoutine Callback, PsSetLoadImageNotifyRoutine Callback...
• jthuraisamy/SysWhispers2: مولد استدعاءات نظام مباشرة لتجاوز خطافات API الخاصة بمساحة المستخدم
• klezVirus/SysWhispers3: توليد ملفات header/ASM يمكن للغرسات استخدامها لإجراء استدعاءات نظام مباشرة
• d1rkmtrr/dark-kill: كود وضع المستخدم وروت كيت خاص به يعمل بشكل دائم على قتل عمليات EDR بالاستفادة من قوة تسجيل ردود اتصال نواة منع إنشاء العملية و ZwTerminateProcess.
• thomasxm/BOAZ_beta: إطار عمل متعدد الطبقات لتجاوز أنظمة مكافحة الفيروسات / EDR

ورشة عمل

أكثر من كونها ورشة عمل لتجاوز EDR، فهي ورشة تطوير برامج ضارة لمختبري الاختراق.

• chvancooten/maldev-for-dummies: ورشة عمل حول تطوير البرامج الضارة
• BC-SECURITY/Beginners-Guide-to-Obfuscation
• chr0n1k/AH2021Workshop: ورشة عمل تطوير البرامج الضارة للفريق الأحمر
• WesleyWong420/RedTeamOps-Havoc-101: مواد ورشة العمل "عمليات الفريق الأحمر: Havoc 101"

عرض تقديمي

• رفع الحجاب، نظرة على MDE تحت الغطاء - مؤتمر FIRST 2022
• Dirty Vanity: نهج جديد لحقن الكود وتجاوز EDR - Black Hat Europe 2022
• talks/Diego Capriotti - DEFCON30 Adversary Village - Python vs Modern Defenses.pdf
• طوّر برنامجك الضار الخاص (RAT)
• دليل تجاوز EDR للفرق الحمراء - Karsten Nohl & Jorge Gimenez - Hack in the Box 2022 Singapore
• EDR Reloaded: مسح البيانات عن بُعد - Black Hat Asia 2024 | جدول العروض
• EvilEDR: إعادة استخدام EDR كأداة هجومية - USENIX Security 2025
  • يوضح كيف يمكن استخدام أنظمة EDR لأغراض هجومية، تنفيذ أوامر عشوائية، استخراج البيانات، وإضعاف الدفاعات. مستودع القطع الأثرية مستضاف على منصة Zenodo ويمكن الوصول إليه من خلال الرابط الدائم التالي: https://doi.org/10.5281/zenodo.15116409
• إخفاء الحمولات في .text العادي، تجاوز أنظمة EDR التي تستخدم إنتروبيا شانون للكشف - x33fcon 2024
  • مستودع الكود لهذا العرض
  • بعض المدونات ذات الصلة بهذا الموضوع:
    • https://redsiege.com/blog/2023/04/evading-crowdstrike-falcon-using-entropy/
    • https://redops.at/en/blog/meterpreter-vs-modern-edrs-in-2023
    • https://practicalsecurityanalytics.com/file-entropy/