Obex - Bloqueo de DLL

Obex es una herramienta/técnica de PoC que se puede utilizar para evitar que módulos no deseados (p. ej., EDR o librerías de monitorización) se carguen en un proceso recién iniciado durante la inicialización del proceso o en tiempo de ejecución.

Características

• Inicia cualquier proceso con argumentos bajo control de depuración.
• Bloquea una lista configurable de DLL por nombre.
• Funciona tanto para DLL de inicio como para DLL cargadas dinámicamente (LoadLibrary*).
• Escrito en C puro sin dependencias externas.

Uso

obex.exe "<command with args>" [dll1.dll,dll2.dll,...]

• Si no se proporciona una lista de DLL, se utiliza una lista de bloqueo predeterminada (al momento de escribir esto, solo amsi.dll).
• Los nombres de DLL no distinguen entre mayúsculas y minúsculas.

¿Cómo funciona?

Además de analizar los argumentos de la CLI, el PoC hace lo siguiente (en una descripción general aproximada):

Para un entendimiento más profundo, revisa el código (obviamente) o contáctame en discord o twitter.

Captura de pantalla

La captura de pantalla muestra a obex iniciando powershell.exe con la lista de bloqueo predeterminada (solo amsi.dll). Adicionalmente, puedes ver la lista de módulos del proceso iniciado para verificar que amsi.dll no se cargó.