SilentButDeadly

• Crée un instantané des processus via CreateToolhelp32Snapshot()
• Énumère tous les processus en cours d'exécution
• Filtre selon une liste prédéfinie de cibles EDR
• Ouvre des handles de processus avec l'accès PROCESS_QUERY_INFORMATION

3. Initialisation WFP

• Initialise COM pour la génération de GUID
• Crée une session WFP dynamique (non persistante par défaut)
• Établit un fournisseur et une sous-couche avec une priorité élevée (0x7FFF)

4. Implémentation des filtres réseau

Pour chaque processus EDR :

• Récupère le chemin complet de l'image du processus via QueryFullProcessImageNameW()
• Convertit le chemin en blob AppID WFP via FwpmGetAppIdFromFileName0()
• Crée deux filtres par processus :
  • Filtre sortant : FWPM_LAYER_ALE_AUTH_CONNECT_V4 (bloque les connexions sortantes)
  • Filtre entrant : FWPM_LAYER_ALE_AUTH_RECV_ACCEPT_V4 (bloque les connexions entrantes)

5. Phase de perturbation des services

• Ouvre le Gestionnaire de Contrôle des Services
• Pour chaque service EDR :
  • Tente un arrêt gracieux du service
  • Modifie le type de démarrage en SERVICE_DISABLED
  • Empêche le redémarrage automatique

6. Affichage du résumé

7. Phase de nettoyage

• Supprime le fournisseur WFP (en cascade vers tous les filtres)
• Ferme le handle du moteur WFP
• Libère les ressources COM
• Ferme tous les handles de processus

Détails techniques clés

Spécifications des filtres WFP

• Couche : Application Layer Enforcement (ALE)
• Poids : 0x7FFF (priorité élevée)
• Action : FWP_ACTION_BLOCK
• Condition : FWPM_CONDITION_ALE_APP_ID (spécifique au processus)
• Drapeaux : FWPM_FILTER_FLAG_CLEAR_ACTION_RIGHT

Cibles EDR prises en charge

• SentinelOne (tous les composants)
• Windows Defender
• Windows Defender ATP (MsSense.exe)
• Facilement extensible via le tableau g_EDRTargets

Options en ligne de commande

• -v, --verbose : Activer la journalisation détaillée des opérations
• -p, --persistent : Maintenir les filtres actifs après la sortie du programme
• -h, --help : Afficher les informations d'utilisation

Gestion des erreurs

• Vérification complète des erreurs à chaque étape
• Repli gracieux en cas d'échecs partiels
• Codes d'erreur détaillés pour le dépannage

Considérations de sécurité

• Nécessite des privilèges Administrateur
• Filtres non persistants par défaut (supprimés à la sortie)
• Aucun chargement de pilote ni manipulation du noyau
• Utilise uniquement des API Windows légitimes

Impact opérationnel

Effets de l'isolation réseau

1. L'EDR ne peut pas recevoir de mises à jour cloud
2. Télémétrie bloquée en envoi
3. Gestion à distance désactivée
4. Renseignement sur les menaces en temps réel coupé

Effets de la perturbation des services

1. Empêche le redémarrage automatique
2. Désactive les analyses planifiées
3. Arrête la surveillance en arrière-plan
4. Interrompt les mécanismes de mise à jour

Vecteurs de détection

• Événements de création de filtres WFP
• Événements d'arrêt/désactivation de services
• Schémas d'accès aux handles de processus
• Aucun artefact persistant (sauf si le drapeau -p est utilisé)

Scénarios d'utilisation

1. Tests pré-engagement : Vérifier le contournement de l'EDR avant l'opération
2. Environnement contrôlé : Isoler l'EDR pour l'analyse de malware
3. Opérations d'équipe rouge : Établissement initial d'un point d'appui
4. Recherche en sécurité : Analyse du comportement des EDR

Limitations

• IPv4 uniquement (IPv6 nécessite des couches supplémentaires)
• Nécessite des processus EDR actifs (inefficace s'ils sont arrêtés)
• Certains EDR peuvent avoir des pilotes réseau au niveau du noyau
• Le Pare-feu Windows doit être activé pour que WFP fonctionne