Obex - Blocage de DLL

Obex est un outil/technique de preuve de concept (PoC) qui peut être utilisé pour empêcher des modules indésirables (par exemple, des bibliothèques EDR ou de surveillance) d'être chargés dans un processus nouvellement démarré pendant l'initialisation du processus ou à l'exécution.

Fonctionnalités

• Lance n'importe quel processus avec des arguments sous contrôle de débogage.
• Bloque une liste configurable de DLL par nom.
• Fonctionne à la fois pour les DLL de démarrage et les DLL chargées dynamiquement (LoadLibrary*).
• Écrit en C pur sans dépendances externes.

Utilisation

obex.exe "<command with args>" [dll1.dll,dll2.dll,...]

• Si aucune liste de DLL n'est fournie, une liste de blocage par défaut est utilisée (au moment de la rédaction, juste amsi.dll).
• Les noms de DLL ne sont pas sensibles à la casse.

Comment ça fonctionne ?

Outre l'analyse des arguments de la ligne de commande, le PoC effectue les opérations suivantes (aperçu général) :