Obex - DLL अवरोधन

Obex एक PoC उपकरण/तकनीक है जिसका उपयोग अवांछित मॉड्यूल (जैसे, EDR या मॉनिटरिंग लाइब्रेरी) को प्रक्रिया आरंभीकरण के दौरान या रनटाइम पर नई शुरू की गई प्रक्रिया में लोड होने से रोकने के लिए किया जा सकता है।

Features

• किसी भी प्रक्रिया को तर्कों सहित डिबग नियंत्रण में प्रारंभ करता है।
• नाम से DLLs की एक कॉन्फ़िगर करने योग्य सूची को ब्लॉक करता है।
• स्टार्टअप DLLs और डायनामिक रूप से लोड की गई DLLs (LoadLibrary*) दोनों के लिए कार्य करता है।
• बिना किसी बाहरी निर्भरता के सादे C में लिखा गया है।

Usage

obex.exe "<command with args>" [dll1.dll,dll2.dll,...]

• यदि कोई DLL सूची प्रदान नहीं की जाती है, तो एक डिफ़ॉल्ट ब्लॉकलिस्ट का उपयोग किया जाता है (लेखन के समय केवल amsi.dll)।
• DLL नाम केस-असंवेदनशील होते हैं।

यह कैसे काम करता है?

CLI तर्कों को पार्स करने के अलावा PoC निम्नलिखित करता है (मोटे तौर पर):

गहरी समझ के लिए कोड देखें (स्पष्टतः) या मुझसे डिस्कॉर्ड या ट्विटर पर संपर्क करें।

स्क्रीनशॉट

स्क्रीनशॉट में obex डिफ़ॉल्ट ब्लॉकलिस्ट (केवल amsi.dll) के साथ powershell.exe प्रारंभ करता हुआ दिखाया गया है। इसके अतिरिक्त आप यह सत्यापित करने के लिए प्रारंभ की गई प्रक्रिया की मॉड्यूल सूची देख सकते हैं कि amsi.dll लोड नहीं हुई थी।