Awesome EDR Bypass　

🛡️ Ressources de contournement d'EDR pour le hacking éthique ⚔️

La technologie de contournement d'EDR n'est pas réservée aux attaquants. De nombreux malwares possèdent désormais des capacités de contournement d'EDR, des connaissances que les pentesteurs et les répondants aux incidents devraient également connaître. Ce dépôt n'est pas destiné à être utilisé pour escalader des attaques. Utilisez-le pour le hacking éthique.

PoC

• trickster0/TartarusGate: TartarusGate, contournement des EDRs
• am0nsec/HellsGate: Implémentation en C originale de la technique Hell's Gate VX
  • Le PDF de l'article contient un bon résumé des techniques de contournement d'EDR.
• Maldev-Academy/HellHall: Exécution indirecte de syscalls propres
  • Une technique appelée HellsGate, qui spécifie un numéro d'appel système via une valeur en mémoire, combinée à une technique pour appeler un appel système en spécifiant une adresse dans NTDLL où l'instruction syscall est implémentée, sans appeler l'instruction syscall.
• TheD1rkMtr/UnhookingPatch: Contournement des hooks EDR en patchant le stub NT API, et résolution des SSN et instructions syscall à l'exécution
• RedTeamOperations/Journey-to-McAfee
• op7ic/EDR-Testing-Script: Testez la précision des logiciels de détection et de réponse des points de terminaison (EDR) avec un simple script qui exécute diverses charges utiles ATT&CK/LOLBAS/Invoke-CradleCrafter/Invoke-DOSfuscation
• zer0condition/mhydeath: Abuser de mhyprotect pour tuer les AV / EDR / XDR / processus protégés.
  • Démo pour forcer l'arrêt de Crowdstrike Falcon et Microsoft Defender
• Mr-Un1k0d3r/RedTeamCCode: Code C pour Red Team
• BYOSI: Contourner l'EDR en apportant votre propre interpréteur de script
• Polydrop: Attaque BYOSI étendue, exploitant 12 langages supplémentaires.
• senzee1984/EDRPrison: Exploiter un pilote WFP légitime pour empêcher les agents EDR d'envoyer de la télémétrie
• S3cur3Th1sSh1t/Ruy-Lopez: Preuve de concept (PoC) d'une nouvelle approche pour empêcher complètement le chargement de DLL dans un processus nouvellement créé
  • Ce post couvre le contexte et la description de la technique.

Outil

• tanc7/EXOCET-AV-Evasion: EXOCET - outil de livraison de charges utiles indétectables contournant les antivirus
• naksyn/Pyramid: un outil pour aider à opérer dans les angles morts des EDR
• Yaxser/Backstab: Un outil pour tuer les processus protégés par les antimalwares
• klezVirus/inceptor: Framework d'évasion AV/EDR piloté par templates
• georgesotiriadis/Chimera: Outil automatisé de DLL Sideloading avec capacités d'évasion EDR
• netero1010/EDRSilencer: Un outil utilisant Windows Filtering Platform (WFP) pour bloquer les agents EDR dans la remontée d'événements de sécurité vers le serveur.
• wavestone-cdt/EDRSandblast
• myzxcg/RealBlindingEDR: Supprimer les callbacks noyau AV/EDR : ObRegisterCallbacks, CmRegisterCallback, MiniFilter Callback, PsSetCreateProcessNotifyRoutine Callback, PsSetCreateThreadNotifyRoutine Callback, PsSetLoadImageNotifyRoutine Callback...
• jthuraisamy/SysWhispers2: Générateur d'appels système directs pour contourner les hooks API en espace utilisateur
• klezVirus/SysWhispers3: Générer des fichiers header/ASM que les implants peuvent utiliser pour faire des appels système directs
• d1rkmtrr/dark-kill: Un code en mode utilisateur et son rootkit qui tuera définitivement les processus EDR en exploitant la routine de callback de blocage de création de processus noyau et ZwTerminateProcess.
• thomasxm/BOAZ_beta: Framework d'évasion AV/EDR multicouche

Atelier

Il s'agit davantage d'un atelier de développement de malwares pour pentesteurs que d'un atelier de contournement d'EDR.

• chvancooten/maldev-for-dummies: Un atelier sur le développement de malwares
• BC-SECURITY/Beginners-Guide-to-Obfuscation
• chr0n1k/AH2021Workshop: Développement de malwares pour atelier red team
• WesleyWong420/RedTeamOps-Havoc-101: Supports de l'atelier "Red Team Ops: Havoc 101"

Présentation

• Lifting the veil, a look at MDE under the hood - FIRST CONFERENCE 2022
• Dirty Vanity: A New Approach to Code Injection & EDR Bypass - Black Hat Europe 2022
• talks/Diego Capriotti - DEFCON30 Adversary Village - Python vs Modern Defenses.pdf
• Develop Your Own Rat
• EDR Evasion Primer for Red Teamers - Karsten Nohl & Jorge Gimenez - Hack in the Box 2022 Singapore
• EDR Reloaded: Erase Data Remotely - Black Hat Asia 2024 | Briefings Schedule
• EvilEDR: Repurposing EDR as an Offensive Tool - USENIX Security 2025
  • Démontre comment les systèmes EDR peuvent être utilisés de manière offensive, en exécutant des commandes arbitraires, en exfiltrant des données et en affaiblissant les défenses. Le dépôt des artefacts est hébergé sur la plateforme Zenodo et est accessible via l'URL permanente suivante : https://doi.org/10.5281/zenodo.15116409
• Hiding Payloads in Plain .text, bypass EDRs which use Shannon entropy for detection - x33fcon 2024
  • dépôt de code pour cette présentation
  • quelques blogs relatifs à ce sujet :
    • https://redsiege.com/blog/2023/04/evading-crowdstrike-falcon-using-entropy/
    • https://redops.at/en/blog/meterpreter-vs-modern-edrs-in-2023

Blog

• Living-Off-the-Blindspot - Opérer dans les angles morts des EDR | Blog de Naksyn
  • Type de personne qui travaille dur en Python ; utilise PEP 578 – Python Runtime Audit Hooks.
• Contourner la protection EDR de CrowdStrike Falcon contre le dump de processus comme lsass.exe | par bilal al-qurneh | Medium
  • L'histoire raconte qu'un outil forensique peut être utilisé pour dumper la mémoire sans être détecté. C'est un exemple de la façon dont un outil destiné à des fins légitimes, qui n'est pas un outil d'attaque, peut être utilisé dans une attaque sans être détecté.
• Contourner CrowdStrike Falcon et MDE
• Les EDR de pointe ne sont pas parfaits, échouent à détecter les attaques courantes - The Record from Recorded Future News
  • Commentaire sur An Empirical Assessment of Endpoint Security Systems Against Advanced Persistent Threats Attack Vectors
• A tale of EDR bypass methods | S3cur3Th1sSh1t
• Blindside: A New Technique for EDR Evasion with Hardware Breakpoints - Cymulate
• Attacking an EDR - Part 1
• Attacking an EDR - Part 2
• The Dark Side of EDR: Repurpose EDR as an Offensive Tool | SafeBreach
  • Probablement le même contenu que The Dark Side of EDR: Repurpose EDR as an Offensive Tool - Black Hat Asia 2024
  • Axé sur Palo Alto Networks Cortex XDR, le rapport présente une étude de cas de la façon dont l'EDR s'est transformé en un malware furtif et persistant unique.

BYOVD

• EDR Bypass Testing Reveals Extortion Actor's Toolkit
• Forget vulnerable drivers - Admin is all you need — Elastic Security Labs
• Bring Your Own Backdoor: How Vulnerable Drivers Let Hackers In - VMware Security Blog - VMware
• It’ll be back: Attackers still abusing Terminator tool and variants – Sophos News
• Bypassing EDR through Retrosigned Drivers and System Time Manipulation
  • Les pilotes retrosignés étendent les techniques précédentes en modifiant l'horloge système de la cible pour charger des pilotes noyau malveillants signés avec des certificats de cross-signature expirés historiquement compromis.
• ThanniKudam/TopazTerminator: Juste un autre tueur d'EDR
  • PoC

Sandbox / Conteneur

• Live off the Land? How About Bringing Your Own Island? An Overview of UNC1945 | Mandiant | Google Cloud Blog
• Bring Your Own Container: When Containers Turn the Key to EDR Bypass - Speaker Deck
• Hack The Sandbox: Unveiling the Truth Behind Disappearing Artifacts | JSAC 2025

macOS

• EDR Internals for macOS and Linux | Outflank Security Blog
• In-Memory Execution in macOS: the Old and the New | Meta Red Team X

Livre

• Evading EDR | No Starch Press

Autres séries géniales

• MrEmpy/Awesome-AV-EDR-XDR-Bypass: Awesome AV/EDR/XDR Bypass Tips