Awesome EDR Bypass　

🛡️ Ressources de contournement d'EDR pour le hacking éthique ⚔️

La technologie de contournement d'EDR n'est pas réservée aux attaquants. De nombreux malwares possèdent désormais des capacités de contournement d'EDR, des connaissances que les pentesteurs et les répondants aux incidents devraient également connaître. Ce dépôt n'est pas destiné à être utilisé pour escalader des attaques. Utilisez-le pour le hacking éthique.

PoC

• trickster0/TartarusGate: TartarusGate, contournement des EDRs
• am0nsec/HellsGate: Implémentation en C originale de la technique Hell's Gate VX
  • Le PDF de l'article contient un bon résumé des techniques de contournement d'EDR.
• Maldev-Academy/HellHall: Exécution indirecte de syscalls propres
  • Une technique appelée HellsGate, qui spécifie un numéro d'appel système via une valeur en mémoire, combinée à une technique pour appeler un appel système en spécifiant une adresse dans NTDLL où l'instruction syscall est implémentée, sans appeler l'instruction syscall.
• TheD1rkMtr/UnhookingPatch: Contournement des hooks EDR en patchant le stub NT API, et résolution des SSN et instructions syscall à l'exécution
• RedTeamOperations/Journey-to-McAfee
• op7ic/EDR-Testing-Script: Testez la précision des logiciels de détection et de réponse des points de terminaison (EDR) avec un simple script qui exécute diverses charges utiles ATT&CK/LOLBAS/Invoke-CradleCrafter/Invoke-DOSfuscation
• zer0condition/mhydeath: Abuser de mhyprotect pour tuer les AV / EDR / XDR / processus protégés.
  • Démo pour forcer l'arrêt de Crowdstrike Falcon et Microsoft Defender
• Mr-Un1k0d3r/RedTeamCCode: Code C pour Red Team
• BYOSI: Contourner l'EDR en apportant votre propre interpréteur de script
• Polydrop: Attaque BYOSI étendue, exploitant 12 langages supplémentaires.
• senzee1984/EDRPrison: Exploiter un pilote WFP légitime pour empêcher les agents EDR d'envoyer de la télémétrie
• S3cur3Th1sSh1t/Ruy-Lopez: Preuve de concept (PoC) d'une nouvelle approche pour empêcher complètement le chargement de DLL dans un processus nouvellement créé
  • Ce post couvre le contexte et la description de la technique.

Outil

• tanc7/EXOCET-AV-Evasion: EXOCET - outil de livraison de charges utiles indétectables contournant les antivirus
• naksyn/Pyramid: un outil pour aider à opérer dans les angles morts des EDR
• Yaxser/Backstab: Un outil pour tuer les processus protégés par les antimalwares
• klezVirus/inceptor: Framework d'évasion AV/EDR piloté par templates
• georgesotiriadis/Chimera: Outil automatisé de DLL Sideloading avec capacités d'évasion EDR
• netero1010/EDRSilencer: Un outil utilisant Windows Filtering Platform (WFP) pour bloquer les agents EDR dans la remontée d'événements de sécurité vers le serveur.
• wavestone-cdt/EDRSandblast
• myzxcg/RealBlindingEDR: Supprimer les callbacks noyau AV/EDR : ObRegisterCallbacks, CmRegisterCallback, MiniFilter Callback, PsSetCreateProcessNotifyRoutine Callback, PsSetCreateThreadNotifyRoutine Callback, PsSetLoadImageNotifyRoutine Callback...
• jthuraisamy/SysWhispers2: Générateur d'appels système directs pour contourner les hooks API en espace utilisateur
• klezVirus/SysWhispers3: Générer des fichiers header/ASM que les implants peuvent utiliser pour faire des appels système directs
• d1rkmtrr/dark-kill: Un code en mode utilisateur et son rootkit qui tuera définitivement les processus EDR en exploitant la routine de callback de blocage de création de processus noyau et ZwTerminateProcess.
• thomasxm/BOAZ_beta: Framework d'évasion AV/EDR multicouche

Atelier

Il s'agit davantage d'un atelier de développement de malwares pour pentesteurs que d'un atelier de contournement d'EDR.

• chvancooten/maldev-for-dummies: Un atelier sur le développement de malwares
• BC-SECURITY/Beginners-Guide-to-Obfuscation
• chr0n1k/AH2021Workshop: Développement de malwares pour atelier red team
• WesleyWong420/RedTeamOps-Havoc-101: Supports de l'atelier "Red Team Ops: Havoc 101"

Présentation

• Lifting the veil, a look at MDE under the hood - FIRST CONFERENCE 2022
• Dirty Vanity: A New Approach to Code Injection & EDR Bypass - Black Hat Europe 2022
• talks/Diego Capriotti - DEFCON30 Adversary Village - Python vs Modern Defenses.pdf
• Develop Your Own Rat
• EDR Evasion Primer for Red Teamers - Karsten Nohl & Jorge Gimenez - Hack in the Box 2022 Singapore
• EDR Reloaded: Erase Data Remotely - Black Hat Asia 2024 | Briefings Schedule
• EvilEDR: Repurposing EDR as an Offensive Tool - USENIX Security 2025
  • Démontre comment les systèmes EDR peuvent être utilisés de manière offensive, en exécutant des commandes arbitraires, en exfiltrant des données et en affaiblissant les défenses. Le dépôt des artefacts est hébergé sur la plateforme Zenodo et est accessible via l'URL permanente suivante : https://doi.org/10.5281/zenodo.15116409
• Hiding Payloads in Plain .text, bypass EDRs which use Shannon entropy for detection - x33fcon 2024
  • dépôt de code pour cette présentation
  • quelques blogs relatifs à ce sujet :
    • https://redsiege.com/blog/2023/04/evading-crowdstrike-falcon-using-entropy/
    • https://redops.at/en/blog/meterpreter-vs-modern-edrs-in-2023
    • https://practicalsecurityanalytics.com/file-entropy/