iamagarre/badexclusionsnwboBadExclusionsNWBO, BadExclusions का एक विकसित संस्करण है जो AV/EDR पर कस्टम या अप्रलेखित फ़ोल्डर बहिष्करणों की पहचान करने के लिए है।
BadExclusionsNWBO, AV/EDR पर फ़ोल्डर कस्टम या अनडॉक्यूमेंटेड बहिष्करणों की पहचान करने के लिए BadExclusions का एक विकास है।
BadExclusionsNWBO दिए गए पथ के सभी फ़ोल्डरों और उपफ़ोल्डरों में Hook_Checker.exe को कॉपी और चलाता है। आपके पास Hook_Checker.exe उसी फ़ोल्डर में होना चाहिए जहाँ BadExclusionsNWBO.exe है।
Hook_Checker.exe EDR हुक्स की संख्या लौटाता है। यदि हुक्स की संख्या 7 या उससे कम है तो इसका मतलब है कि फ़ोल्डर में बहिष्करण है अन्यथा फ़ोल्डर बहिष्कृत नहीं है।
BadExclusions के रिलीज़ होने के बाद से मैं सोच रहा था कि इतना शोर पैदा किए बिना समान परिणाम कैसे प्राप्त किए जाएं। समाधान एक अन्य टूल, https://github.com/asaurusrex/Probatorum-EDR-Userland-Hook-Checker से आया।
यदि आप Probatorum-EDR-Userland-Hook-Checker डाउनलोड करते हैं और इसे एक सामान्य फ़ोल्डर और एक विशिष्ट प्रकार के बहिष्करण वाले फ़ोल्डर पर चलाते हैं तो आपको एक बड़ा अंतर दिखाई देगा। सारी जानकारी Probatorum रिपॉजिटरी पर है।
प्रत्येक विक्रेता अलग-अलग तरीके से बहिष्करण लागू करता है। फ़ोल्डर बहिष्करणों की सूची प्राप्त करने के लिए एक विशिष्ट प्रकार का बहिष्करण किया जाना चाहिए। सभी प्रकार के बहिष्करण और सभी विक्रेता किसी फ़ोल्डर को बहिष्कृत करते समय हुक्स नहीं हटाते हैं।
BadExclusionsNWBO चलाने वाले उपयोगकर्ता को Hook_Checker फ़ाइल लिखने और परिणाम प्राप्त करने के लिए बहिष्कृत फ़ोल्डर पर लिखने की अनुमति की आवश्यकता होती है।
https://github.com/iamagarre/BadExclusionsNWBO/assets/89855208/46982975-f4a5-4894-b78d-8d6ed9b1c8c4
