SharpBlock

Un método para eludir los DLL de proyección activa de EDR impidiendo la ejecución del punto de entrada.

Características

Bloquea la ejecución del punto de entrada de DLL de EDR, lo que impide que se coloquen hooks de EDR.
Bypass de AMSI sin parches que es indetectable para los escáneres que buscan parches de código de Amsi.dll en tiempo de ejecución.
Proceso anfitrión que se reemplaza con un PE implant que se puede cargar desde disco, HTTP o named pipe (Cobalt Strike)
El proceso implantado está oculto para ayudar a evadir escáneres que buscan procesos vaciados (hollowed).
Los argumentos de línea de comandos se falsifican e implantan después de la creación del proceso utilizando un método sigiloso de detección de EDR.
Bypass de ETW sin parches.
Bloquea la invocación de NtProtectVirtualMemory cuando el destinatario está dentro del rango del espacio de direcciones de un DLL bloqueado

SharpBlock by @_EthicalChaos_
  DLL Blocking app for child processes x64

  -e, --exe=VALUE            Program to execute (default cmd.exe)
  -a, --args=VALUE           Arguments for program (default null)
  -n, --name=VALUE           Name of DLL to block
  -c, --copyright=VALUE      Copyright string to block
  -p, --product=VALUE        Product string to block
  -d, --description=VALUE    Description string to block
  -s, --spawn=VALUE          Host process to spawn for swapping with the target exe
  -ppid=VALUE                Parent process ID for spawned child (PPID Spoofing)
  -w, --show                 Show the lauched process window instead of the
                               default hide
      --disable-bypass-amsi  Disable AMSI bypassAmsi
      --disable-bypass-cmdline
                             Disable command line bypass
      --disable-bypass-etw   Disable ETW bypass
      --disable-header-patch Disable process hollow detection bypass
  -h, --help                 Display this help

SharpBlock

Más Populares

Ejemplos

Lanzar mimikatz a través de HTTP usando notepad como proceso anfitrión, bloqueando el DLL de SylantStrike

Lanzar mimikatz usando el beacon de Cobalt Strike a través de named pipe usando notepad como proceso anfitrión, bloqueando el DLL de SylantStrike