HookDump

Dump des hooks de fonctions EDR

Veuillez vous référer au billet de blog Zeroperil pour plus d'informations https://zeroperil.co.uk/hookdump/

Construction du code source

• Pour compiler ce projet, vous aurez besoin de Visual Studio 2019 (l'édition Community suffit) et de CMake. Le fichier batch Configure.bat créera deux répertoires de build avec des solutions Visual Studio.
• Le projet peut compiler avec MinGW avec la bonne ligne de commande CMake, cela n'est pas testé, YMMV.
• Il y a une dépendance vers le désassembleur zydis, alors assurez-vous de mettre à jour les sous-modules dans git avant de configurer le projet.
• Il y a un projet 32 bits et 64 bits, vous pouvez constater que les EDR hookent différentes fonctions en 32/64 bits, donc compiler et exécuter les deux exécutables peut fournir des résultats plus complets.

Remarques

• Certains EDR remplacent le stub WOW dans la structure TEB (plus précisément Wow32Reserved) afin de hooker les appels système pour les binaires 32 bits. Dans ce cas, vous pouvez voir zéro hook car aucune instruction de saut n'est présente dans NTDLL. Très probablement, vous verrez des hooks dans la version x64 car l'instruction syscall est utilisée pour les appels système au lieu d'un stub WOW.
• Nous avons noté que Windows Defender n'utilise aucun hook en mode utilisateur.
• Cet outil est conçu pour être exécuté en tant qu'utilisateur standard, l'élévation n'est pas requise.

Types de hooks détectés

JMP

Une instruction de saut a été patchée dans la fonction pour rediriger le flux d'exécution