SilentButDeadly

• Crea una instantánea de procesos usando CreateToolhelp32Snapshot()
• Enumera todos los procesos en ejecución
• Compara con la lista predefinida de objetivos EDR
• Abre handles de proceso con acceso PROCESS_QUERY_INFORMATION

3. Inicialización de WFP

• Inicializa COM para la generación de GUID
• Crea una sesión WFP dinámica (no persistente por defecto)
• Establece proveedor y subcapa con alta prioridad (0x7FFF)

4. Implementación del Filtro de Red

Para cada proceso EDR:

• Recupera la ruta completa de la imagen del proceso usando QueryFullProcessImageNameW()
• Convierte la ruta a un blob AppID de WFP usando FwpmGetAppIdFromFileName0()
• Crea dos filtros por proceso:
  • Filtro de Salida: FWPM_LAYER_ALE_AUTH_CONNECT_V4 (bloquea conexiones salientes)
  • Filtro de Entrada: FWPM_LAYER_ALE_AUTH_RECV_ACCEPT_V4 (bloquea conexiones entrantes)

5. Fase de Interrupción de Servicios

• Abre el Administrador de Control de Servicios
• Para cada servicio EDR:
  • Intenta una detención ordenada del servicio
  • Cambia el tipo de inicio a SERVICE_DISABLED
  • Evita el reinicio automático

6. Visualización del Resumen

7. Fase de Limpieza

• Elimina el proveedor WFP (en cascada a todos los filtros)
• Cierra el handle del motor WFP
• Libera recursos COM
• Cierra todos los handles de proceso

Detalles Técnicos Clave

Especificaciones del Filtro WFP

• Capa: Aplicación de Capa de Aplicación (ALE)
• Peso: 0x7FFF (alta prioridad)
• Acción: FWP_ACTION_BLOCK
• Condición: FWPM_CONDITION_ALE_APP_ID (específico del proceso)
• Banderas: FWPM_FILTER_FLAG_CLEAR_ACTION_RIGHT

Objetivos EDR Soportados

• SentinelOne (todos los componentes)
• Windows Defender
• Windows Defender ATP (MsSense.exe)
• Fácilmente extensible mediante el array g_EDRTargets

Opciones de Línea de Comandos

• -v, --verbose: Habilita el registro detallado de operaciones
• -p, --persistent: Mantiene los filtros activos después de salir del programa
• -h, --help: Muestra información de uso

Manejo de Errores

• Verificación exhaustiva de errores en cada etapa
• Retroceso elegante en fallos parciales
• Códigos de error detallados para solución de problemas

Consideraciones de Seguridad

• Requiere privilegios de Administrador
• Filtros no persistentes por defecto (se eliminan al salir)
• No carga controladores ni manipula el kernel
• Utiliza únicamente APIs legítimas de Windows

Impacto Operativo

Efectos del Aislamiento de Red

1. El EDR no puede recibir actualizaciones en la nube
2. La telemetría de carga se bloquea
3. La gestión remota se deshabilita
4. La inteligencia de amenazas en tiempo real se corta

Efectos de la Interrupción de Servicios

1. Previene el reinicio automático
2. Deshabilita los análisis programados
3. Detiene la monitorización en segundo plano
4. Detiene los mecanismos de actualización

Vectores de Detección

• Eventos de creación de filtros WFP
• Eventos de detención/deshabilitación de servicios
• Patrones de acceso a handles de proceso
• Sin artefactos persistentes (a menos que se use la bandera -p)

Escenarios de Uso

1. Pruebas Previas al Compromiso: Verificar la evasión de EDR antes de la operación
2. Entorno Controlado: Aislar EDR para análisis de malware
3. Operaciones de Equipo Rojo: Establecimiento de punto de apoyo inicial
4. Investigación de Seguridad: Análisis del comportamiento de EDR

Limitaciones

• Solo IPv4 (IPv6 requiere capas adicionales)
• Requiere procesos EDR activos (no efectivo si están detenidos)
• Algunos EDR pueden tener controladores de red a nivel de kernel
• El Firewall de Windows debe estar habilitado para que WFP funcione