Obex - DLL-Blockierung

Obex ist ein PoC-Tool bzw. eine Technik, mit der verhindert werden kann, dass unerwünschte Module (z. B. EDR- oder Überwachungsbibliotheken) während der Prozessinitialisierung oder zur Laufzeit in einen neu gestarteten Prozess geladen werden.

Funktionen

• Startet jeden Prozess mit Argumenten unter Debug-Kontrolle.
• Blockiert eine konfigurierbare Liste von DLLs anhand des Namens.
• Funktioniert sowohl für DLLs beim Start als auch für dynamisch geladene DLLs (LoadLibrary*).
• In reinem C ohne externe Abhängigkeiten geschrieben.

Verwendung

obex.exe "<command with args>" [dll1.dll,dll2.dll,...]

• Wenn keine DLL-Liste angegeben wird, wird eine Standard-Blocklist verwendet (zum Zeitpunkt der Erstellung nur amsi.dll).
• DLL-Namen sind unabhängig von der Groß-/Kleinschreibung.

Wie funktioniert es?

Neben dem Parsen der CLI-Argumente macht das PoC Folgendes (in einer groben Übersicht):

Für ein tieferes Verständnis schau dir den Code an (offensichtlich) oder kontaktiere mich auf Discord oder .