iamagarre/badexclusionsnwboBadExclusionsNWBO ist eine Weiterentwicklung von BadExclusions, um benutzerdefinierte oder undokumentierte Ordnerausschlüsse in AV/EDR zu identifizieren.
BadExclusionsNWBO ist eine Weiterentwicklung von BadExclusions, um benutzerdefinierte oder undokumentierte Ordnerausschlüsse in AV/EDR zu identifizieren.
BadExclusionsNWBO kopiert und führt Hook_Checker.exe in allen Ordnern und Unterordnern eines angegebenen Pfades aus. Sie müssen Hook_Checker.exe im selben Ordner wie BadExclusionsNWBO.exe haben.
Hook_Checker.exe gibt die Anzahl der EDR-Hooks zurück. Wenn die Anzahl der Hooks 7 oder weniger beträgt, bedeutet dies, dass der Ordner einen Ausschluss hat; andernfalls ist der Ordner nicht ausgeschlossen.
Seit der Veröffentlichung von BadExclusions habe ich darüber nachgedacht, wie ich die gleichen Ergebnisse erzielen kann, ohne so viel Lärm zu verursachen. Die Lösung kam von einem anderen Tool, https://github.com/asaurusrex/Probatorum-EDR-Userland-Hook-Checker.
Wenn Sie Probatorum-EDR-Userland-Hook-Checker herunterladen und in einem normalen Ordner sowie in einem Ordner mit einer bestimmten Art von Ausschluss ausführen, werden Sie einen großen Unterschied feststellen. Alle Informationen finden Sie im Probatorum-Repository.
Jeder Anbieter wendet Ausschlüsse auf unterschiedliche Weise an. Um die Liste der Ordnerausschlüsse zu erhalten, muss eine bestimmte Art von Ausschluss erstellt werden. Nicht alle Ausschlussarten und nicht alle Anbieter entfernen die Hooks, wenn sie einen Ordner ausschließen.
Der Benutzer, der BadExclusionsNWBO ausführt, benötigt Schreibberechtigungen auf dem ausgeschlossenen Ordner, um die Hook_Checker-Datei zu schreiben und die Ergebnisse zu erhalten.
https://github.com/iamagarre/BadExclusionsNWBO/assets/89855208/46982975-f4a5-4894-b78d-8d6ed9b1c8c4
