Détection des syscalls manuels depuis le mode utilisateur

• https://github.com/jackullrich/syscall-detect
• hooker le processus courant pour identifier les exécutions de syscalls manuels sous Windows : https://github.com/paranoidninja/Process-Instrumentation-Syscall-Hook
• Hunt-Weird-Syscalls : https://github.com/thefLink/Hunt-Weird-Syscalls

PROCESS/PESCAN

• Yapscan - amassez autant de règles Yara que possible
• DetectItEasy(DIE) : https://github.com/horsicq/Detect-It-Easy

Fournisseur AMSI

• Fournisseur AMSI : https://github.com/jborean93/AmsiProvider

ETW-TI/ETW Fournisseurs/Consommateurs -

• silketw : https://otterhacker.github.io/Malware/ETW.html
• ETWInspector : https://github.com/jsecurity101/ETWInspector
• Liste les fournisseurs ETW d'un processus : https://github.com/whokilleddb/ETWListicle
• KrabsETW (consommateur ETW de Microsoft) : https://github.com/microsoft/krabsetw
• BlueKrabsETW (pour les blue teams, basé sur KrabsETW de Microsoft) : https://github.com/threathunters-io/bluekrabsetw
• SealighterTI (fournisseur ETW de renseignement sur les menaces) : https://github.com/pathtofile/SealighterTI
• TiEtwAgent (détecte les injections mémoire basées sur ETW-TI) : https://github.com/xuanxuan0/TiEtwAgent
• PyWinTrace (bibliothèque Python pour ETW) : https://github.com/fireeye/pywintrace
• EtwExplorer (affiche le manifeste des fournisseurs ETW) : https://github.com/zodiacon/EtwExplorer
• TelemetrySourcerer (énumère et désactive les sources courantes de télémétrie utilisées par les AV/EDR, y compris ETW, les hooks en mode utilisateur et les callbacks noyau) : https://github.com/jthuraisamy/TelemetrySourcerer
• MentalTi (analyseur ETW-TI) : https://github.com/mannyfred/MentalTi
• PockETWatcher : https://github.com/olafhartong/PockETWatcher
• Ressources ETW
  • Contient des ressources pour apprendre et comprendre EVTX/ETW (Event Tracing for Windows) : https://github.com/nasbench/EVTX-ETW-Resources

CALLBACKS NOYAU -

• Elastic
• Sysmon
• TelemetrySourcerer (énumère et désactive les sources courantes de télémétrie utilisées par les AV/EDR, y compris ETW, les hooks en mode utilisateur et les callbacks noyau) : https://github.com/jthuraisamy/TelemetrySourcerer

Capa - Analyse des capacités

Tracer les appels API - TinyTracer

• https://github.com/hasherezade/tiny_tracer

Collecter la télémétrie Windows pour le Maldev

• Collecte la télémétrie comme , ETW, ETW-TI, les callbacks noyau, les hooks, les piles d'appels, les DLL chargées, le PEB) : https://github.com/dobin/RedEdr , RedEDR UI (https://github.com/dobin/RedEdrUi) (Consultez les autres projets de l'auteur)

Produits EDR/AV en essai gratuit

• Microsoft Defender For Endpoint
  • https://medium.com/@hackenbacker/creating-a-defender-for-endpoint-lab-for-free-695044b75bd6
  • https://learn.microsoft.com/en-us/defender-endpoint/defender-endpoint-trial-user-guide
• Sophos XDR (essai)
• Elastic EDR
  • https://github.com/sherifabdlnaby/elastdocker
  • https://otterhacker.github.io/Malware/Elastic EDR.html
  • https://github.com/peasead/elastic-container
  • https://www.youtube.com/watch?v=1luhjL7TN9U
• TrendMicro
• McAfee MVISION
• Avast
• openEDR - EDR gratuit de Comodo
• Wazuh : https://github.com/wazuh/wazuh
• Huntress Managed EDR - (essai gratuit de 15 jours, sans carte de crédit, 3 rapports d'incidents haute/critique par des analystes SOC en temps réel) : https://www.huntress.com/edr-free-trial

EDR open source

• RedEDR : https://github.com/dobin/RedEdr
• SimpleEDR - hooking manuel de DLL pour trouver des opportunités de détection : https://github.com/Helixo32/SimpleEDR
• CrimsonEDR : https://github.com/Helixo32/CrimsonEDR
• OpenEDR : https://github.com/ComodoSecurity/openedr/
• InjDrv : https://github.com/wbenny/injdrv
• MyDumbEDR : https://github.com/sensepost/mydumbedr
• BestEDROfTheMarket : https://github.com/Xacone/BestEdrOfTheMarket
• JonMon : https://github.com/jsecurity101/JonMon
• SylantStrike : https://github.com/CCob/SylantStrike
• Whids : https://github.com/0xrawsec/whids
• Écrire votre propre EDR
  • https://blog.whiteflag.io/blog/from-windows-drivers-to-a-almost-fully-working-edr/
  • https://youtube.com/playlist?list=PLc2_LEyTNutFkUliQMTZ_FHl8kNx3f5-E&si=8kHcC_FIxccHBR5H
  • https://sensepost.com/blog/2024/sensecon-23-from-windows-drivers-to-an-almost-fully-working-edr/

Comparaison des EDR open source par @dobin

Analyseurs d'événements de chargement d'images

• Hunt-Weird-ImageLoads : https://github.com/thefLink/Hunt-Weird-ImageLoads

Analyseurs de mémoire de processus

• PE-sieve : https://github.com/hasherezade/pe-sieve
• Moneta : https://github.com/forrest-orr/moneta
• YapScan : https://github.com/fkie-cad/yapscan
• MalMemDetect : https://github.com/waldo-irc/MalMemDetect
• Patriot : https://github.com/joe-desimone/patriot
• Hunt-Sleeping-Beacons : https://github.com/thefLink/Hunt-Sleeping-Beacons
• YaraMemoryScanner : https://github.com/BinaryDefense/YaraMemoryScanner
• Analyseurs spécifiques à la détection des beacons Cobalt Strike
  • BeaconEye : https://github.com/CCob/BeaconEye
  • BeaconHunter : https://github.com/3lp4tr0n/BeaconHunter
• EtwTi-FluctuationMonitor - effectuer VirtualAlloc(RWX) modifie la bitmap CFG en conséquence, puis après VirtualAlloc(RW), la CFG reste identique : https://github.com/jdu2600/EtwTi-FluctuationMonitor
  • https://github.com/jdu2600/CFG-FindHiddenShellcode
  • https://github.com/jdu2600/Etw-SyscallMonitor
• TiEtwAgent (détecte les injections mémoire basées sur ETW-TI) : https://github.com/xuanxuan0/TiEtwAgent

Contournement de la détection par signatures

• ThreatCheck : https://github.com/PACHAKUTlQ/ThreatCheck
• AvRed : https://github.com/dobin/avred