EDRs

इस रिपॉजिटरी में EDRs के बारे में जानकारी है जो रेड टीम अभ्यास के दौरान उपयोगी हो सकती है।

patch_syscall_dynamically64.c

यह प्रूफ-ऑफ-कॉन्सेप्ट syscall ID को डायनामिक रूप से रिज़ॉल्व करता है, जिससे रिमोट होस्ट पर चल रहे वर्ज़न की जाँच करने की आवश्यकता नहीं होती। डिस्क पर मौजूद (जिसमें छेड़छाड़ नहीं की गई है) जानकारी प्राप्त करने के लिए CreateFileMapping और MapViewOfFile Windows APIs को कॉल किया जाता है। फिर DLL को पार्स करके डेटा निकाला जाता है और लाइव कोड को पैच करने के लिए उपयोग किया जाता है।

patch_syscall64.c

यह प्रूफ-ऑफ-कॉन्सेप्ट कोड में निर्दिष्ट syscall ID को पैच करता है। फिर DLL के लाइव संस्करण को हार्डकोडेड syscall ID का उपयोग करके पैच किया जाता है और मूल अनपैच्ड स्थिति में वापस कर दिया जाता है।

get_syscall64.c

यह उपयोगिता किसी Windows API से जुड़े syscall ID को प्राप्त करने के लिए उपयोग की जाती है।

get_syscall64.exe ntdll.dll NtOpenProcess

ntdll.dll!NtOpenProcess at 0x00007FF873F6CAD0
NtOpenProcess syscall ID 0x00000026 (38)

unhookIAT.c

यह प्रूफ-ऑफ-कॉन्सेप्ट Import Address Table में EDR/AV/Malware द्वारा लगाए गए हुक्स का पता लगाता है और उन्हें मूल पतों से बदल देता है (xalicex द्वारा कोडित)।

हुक्स की सूची का Excel संस्करण

Vincent Yiu द्वारा फ़ॉर्मेट किया गया EDRs.xlsx

हुक्स की सूची का Markdown संस्करण

Vincent Yiu द्वारा फ़ॉर्मेट किया गया EDRs.md

EDRs द्वारा हुक किए गए APIs

योगदान देना चाहते हैं? बस hook_finder64.exe C:\windows\system32\ntdll.dll चलाएँ और आउटपुट सबमिट करें।

CrowdStrike द्वारा हुक किए गए ntdll.dll APIs

CrowdStrike हुक्स की सूची

नया संस्करण UMH से हटकर इसके बजाय कर्नेल कॉलबैक पर निर्भर करता है, जैसा नीचे दिखाया गया है:

SentinelOne द्वारा हुक किए गए ntdll.dll APIs

SentinelOne हुक्स की सूची

Cylance द्वारा हुक किए गए ntdll.dll APIs (Seemant Bisht का धन्यवाद)

Cylance हुक्स की सूची

Sophos द्वारा हुक किए गए ntdll.dll APIs

Sophos हुक्स की सूची

Attivo Deception द्वारा हुक किए गए ntdll.dll APIs

Attivo हुक्स की सूची

CarbonBlack द्वारा हुक किए गए ntdll.dll APIs (Hackndo का धन्यवाद)

CarbonBlack हुक्स की सूची

Symantec द्वारा हुक किए गए ntdll.dll APIs (CarsonSallis का धन्यवाद)

Symantec हुक्स की सूची

DeepInstinct द्वारा हुक किए गए ntdll.dll APIs (P0chAcc0 का धन्यवाद)

DeepInstinct हुक्स की सूची

McAfee द्वारा हुक किए गए ntdll.dll APIs

McAfee हुक्स की सूची

CheckPoint SandBlast द्वारा हुक किए गए ntdll APIs

CheckPoint SandBlast हुक्स की सूची

ESET endpoint Security 8.0.2028.0 द्वारा हुक किए गए ntdll APIs

Eset हुक्स की सूची

TrendMicro 17.7.1130 द्वारा हुक किए गए ntdll APIs

TrendMicro हुक्स की सूची

Cortex XDR द्वारा हुक किए गए APIs (KERNEL MODE)

⚠️ ये हुक्स कर्नेल मोड में सेट हैं। इन्हें यूज़र मोड से अनहुक नहीं किया जा सकता है।

Cortex XDR हुक्स की सूची

Bitdefender द्वारा हुक किए गए ntdll APIs

Bitdefender हुक्स की सूची

श्रेय

Mr.Un1k0d3r RingZer0 Team

और पूरा समुदाय <3