Einrichtung einer AV/EDR-Laborumgebung

Ursprünglich aus dem Maldev Academy Discord übernommen und um weitere Ressourcen ergänzt.

Notion-Notizen : https://an0nud4y.notion.site/AV-EDR-Lab-Env-Setup-130bc870022d8071935cc682d3eb34b9?pvs=4

Ein Beispiel für Dinge, die verwendet werden können, um bestimmte Funktionen zu emulieren, die kostenpflichtige EDRs besitzen:
- SACL - sysmon
- HOOKS
  - bitdefender free : https://otterhacker.github.io/Malware/Function hooking.html
  - HookDetector (Erkennt alle gehookten APIs) : https://github.com/matterpreter/OffensiveCSharp/tree/master/HookDetector
  - TelemetrySourcerer (Häufige Telemetriequellen von AV/EDR aufzählen und deaktivieren, einschließlich ETW, User-Mode-Hooks, Kernel-Callbacks) : https://github.com/jthuraisamy/TelemetrySourcerer
- Erkennung manueller Syscalls aus dem Usermode
  - https://github.com/jackullrich/syscall-detect
  - Hook den aktuellen Prozess, um manuelle Syscall-Ausführungen unter Windows zu identifizieren : https://github.com/paranoidninja/Process-Instrumentation-Syscall-Hook
  - Hunt-Weird-Syscalls : https://github.com/thefLink/Hunt-Weird-Syscalls
- PROCESS/PESCAN
  - Yapscan - sammle so viele Yara-Regeln wie möglich
  - DetectItEasy(DIE) : https://github.com/horsicq/Detect-It-Easy
- AMSI-Provider
  - AMSI-Provider : https://github.com/jborean93/AmsiProvider
- ETW-TI/ETW Provider/Consumer -
  - silketw : https://otterhacker.github.io/Malware/ETW.html
  - ETWInspector : https://github.com/jsecurity101/ETWInspector
  - ETW-Provider für einen Prozess auflisten : https://github.com/whokilleddb/ETWListicle
  - KrabsETW (Microsoft-ETW-Consumer) : https://github.com/microsoft/krabsetw
  - BlueKrabsETW (Für Blue Teams, basierend auf KrabsETW von Microsoft) : https://github.com/threathunters-io/bluekrabsetw
  - SealighterTI (Threat-Intelligence-ETW-Provider) : https://github.com/pathtofile/SealighterTI
  - TiEtwAgent (Speicherinjektion basierend auf ETW-TI erkennen) : https://github.com/xuanxuan0/TiEtwAgent
  - PyWinTrace (ETW-Python-Bibliothek) : https://github.com/fireeye/pywintrace
  - EtwExplorer (ETW-Provider-Manifeste anzeigen) : https://github.com/zodiacon/EtwExplorer
  - TelemetrySourcerer (Häufige Telemetriequellen von AV/EDR aufzählen und deaktivieren, einschließlich ETW, User-Mode-Hooks, Kernel-Callbacks) : https://github.com/jthuraisamy/TelemetrySourcerer
  - MentalTi (ETWTi-Parser) : https://github.com/mannyfred/MentalTi
  - PockETWatcher : https://github.com/olafhartong/PockETWatcher
  - ETW-Ressourcen
    - Enthält Ressourcen zum Erlernen und Verstehen von EVTX/ETW (Event Tracing for Windows) : https://github.com/nasbench/EVTX-ETW-Resources
- KERNEL-CALLBACKS -
  - Elastic
  - Sysmon
  - TelemetrySourcerer (Häufige Telemetriequellen von AV/EDR aufzählen und deaktivieren, einschließlich ETW, User-Mode-Hooks, Kernel-Callbacks) : https://github.com/jthuraisamy/TelemetrySourcerer
- Capa - Capability-Scanning
- API-Aufrufe verfolgen - TinyTracer
  - https://github.com/hasherezade/tiny_tracer
Windows-Telemetrie für Maldev sammeln
- Sammelt Telemetrie wie , ETW, ETW-TI, Kernel-Callbacks, Hooks, Callstacks, geladene DLLs, PEB) : https://github.com/dobin/RedEdr , RedEDR-UI (https://github.com/dobin/RedEdrUi) (Weitere Projekte des Autors ansehen)
Kostenlose Testversionen von EDR/AV-Produkten
- Microsoft Defender For Endpoint
  - https://medium.com/@hackenbacker/creating-a-defender-for-endpoint-lab-for-free-695044b75bd6
  - https://learn.microsoft.com/en-us/defender-endpoint/defender-endpoint-trial-user-guide
- Sophos XDR (Testversion)
- Elastic EDR
- TrendMicro
- McAfee MVISION
- Avast
- openEDR - Comodo Free EDR
- Wazuh : https://github.com/wazuh/wazuh
- Huntress Managed EDR - (15 Tage kostenlose Testversion, keine Kreditkarte erforderlich, 3 Berichte über hohe/kritische Vorfälle durch Echtzeit-SOC-Analysten) : https://www.huntress.com/edr-free-trial
Open-Source-EDRs
- RedEDR : https://github.com/dobin/RedEdr
- SimpleEDR - Manuelles DLL-Hooking zum Aufspüren von Erkennungsmöglichkeiten : https://github.com/Helixo32/SimpleEDR
- CrimsonEDR : https://github.com/Helixo32/CrimsonEDR
- OpenEDR : https://github.com/ComodoSecurity/openedr/
- InjDrv : https://github.com/wbenny/injdrv
- MyDumbEDR : https://github.com/sensepost/mydumbedr
- BestEDROfTheMarket : https://github.com/Xacone/BestEdrOfTheMarket
- JonMon : https://github.com/jsecurity101/JonMon
- SylantStrike : https://github.com/CCob/SylantStrike
- Whids : https://github.com/0xrawsec/whids
- Schreibe dein eigenes EDR
Vergleich von Open-Source-EDRs von @dobin
Scanner für Image-Load-Ereignisse
- Hunt-Weird-ImageLoads : https://github.com/thefLink/Hunt-Weird-ImageLoads
Prozessspeicher-Scanner
- PE-sieve : https://github.com/hasherezade/pe-sieve
- Moneta : https://github.com/forrest-orr/moneta
- YapScan : https://github.com/fkie-cad/yapscan
- MalMemDetect : https://github.com/waldo-irc/MalMemDetect
- Patriot : https://github.com/joe-desimone/patriot
- Hunt-Sleeping-Beacons : https://github.com/thefLink/Hunt-Sleeping-Beacons
- YaraMemoryScanner : https://github.com/BinaryDefense/YaraMemoryScanner
- Spezifische Scanner zur Erkennung von Cobalt-Strike-Beacons
  - BeaconEye : https://github.com/CCob/BeaconEye
  - BeaconHunter : https://github.com/3lp4tr0n/BeaconHunter
- EtwTi-FluctuationMonitor - Bei VirtualAlloc(RWX) wird die CFG-Bitmap entsprechend geändert, und nach VirtualAlloc(RW) bleibt die CFG unverändert : https://github.com/jdu2600/EtwTi-FluctuationMonitor
  - https://github.com/jdu2600/CFG-FindHiddenShellcode
  - https://github.com/jdu2600/Etw-SyscallMonitor
- TiEtwAgent (Speicherinjektion basierend auf ETW-TI erkennen) : https://github.com/xuanxuan0/TiEtwAgent
Umgehung der Signaturerkennung
- ThreatCheck : https://github.com/PACHAKUTlQ/ThreatCheck
- AvRed : https://github.com/dobin/avred

Einrichtung der Malware-Entwicklungsmaschine

Vermeide die Verwendung von Windows, wenn du dir wegen der Windows-Telemetrie Sorgen machst, während du deine Malware schreibst.
Tiny11Builder (Um viele unnötige Windows-Komponenten zu entfernen, einschließlich Telemetrie) (Entnommen von hier) : https://github.com/ntdevlabs/tiny11builder

AV/EDR-Interna/ Telemetrie/Benchmarking/Funktionsweise

EDR-Interna
- Matt Hand - Buch „Evading EDR"
- Wie EDR funktioniert (Das Anti-EDR-Kompendium) : https://blog.deeb.ch/posts/how-edr-works/
Vorträge zu EDR-Interna / Funktionsweise
EDR-Telemetrie - Verschiedene EDR-Telemetrie : https://github.com/tsale/EDR-Telemetry
- https://www.edr-telemetry.com/
- EDR-Telemetrie-Tabelle : https://docs.google.com/spreadsheets/u/1/d/1ZMFrD6F6tvPtf_8McC-kWrNBBec_6Si3NW6AoWf3Kbg/htmlview
Defender Harvester : https://github.com/olafhartong/DefenderHarvester
Listen von EDR-Hooks : https://github.com/Mr-Un1k0d3r/EDRs
- HookDetector (Erkennt alle gehookten APIs) : https://github.com/matterpreter/OffensiveCSharp/tree/master/HookDetector
Polonium : Ein Tool aus dem Kurs „Modern Initial Access and Evasion Tactics" von Binary-Offensive (@mariuszbit). https://github.com/sponsors/mgeeky
Telemetrie von EDR-Hooks
- Entnommen aus : https://github.com/helviojunior/hookchain/blob/main/HookChain_en_v1.5.pdf

Danksagungen

Dank an die Mitglieder des MaldevAcademy-Discords für die erste Liste
Dank an @dobin für die Bereitstellung einer Liste zusätzlicher Ressourcen und der Vergleichstabelle für Open-Source-EDRs.
Dank an @fin3ss3g0d für das Teilen des Angebots der kostenlosen Testversion von Huntress Managed EDR.

Beliebteste

AV-EDR-Lab-Environment-Setup