waawaa/breakcyserverRed-Team-Tool zur EDR-Umgehung, das Sicherheitsdienste beendet, indem es die Funktionalität des Process-Explorer-Treibers missbraucht, um PPL und ObRegisterCallbacks zu umgehen.
Vollständiger Beitrag unter: https://waawaa.github.io/
1. Töte EDR-Dienste, indem du alle geöffneten Handles des EDR-Prozesses schließt.
2. Umgehe PPL, indem du einige Treiberfunktionen des Process Explorers missbrauchst.
3. Umgehe die ObRegisterCallbacks-Implementierung, indem du Treiberfunktionen des Process Explorers missbrauchst.
PS: Implementierung hinzugefügt, um den Treiber manuell ohne ProcessExplorer zu laden.
LoadDriver.exe /LOAD
LoadDriver.exe /UNLOAD
EDRs und XDRs könnten bemerken, dass eine unsignierte EXE einen Treiber lädt und einen Registrierungsschlüssel hinzufügt, daher wurde der folgende Trick gefunden.
Natürlich würde das Öffnen von procexp das Opfer alarmieren und seltsam wirken. Mit dem Flag /t wird procexp also geöffnet
und minimiert, und der Treiber wird von der signierten Binärdatei procexp64.exe geladen.
.\procexp64.exe -accepteula /t