अद्भुत EDR बाईपास　

🛡️ एथिकल हैकिंग के लिए अद्भुत EDR बाईपास संसाधन ⚔️

EDR बाईपास तकनीक केवल हमलावरों के लिए नहीं है। कई मैलवेयर में अब EDR बाईपास क्षमताएँ हैं, यह ज्ञान पेनटेस्टर्स और घटना प्रतिक्रियाकर्ताओं को भी होना चाहिए। इस रिपॉजिटरी का उद्देश्य हमलों को बढ़ाना नहीं है। इसका उपयोग एथिकल हैकिंग के लिए करें।

PoC

• trickster0/TartarusGate: TartarusGate, EDRs को बाईपास करना
• am0nsec/HellsGate: Hell's Gate VX तकनीक का मूल C कार्यान्वयन
  • पेपर PDF में EDR बाईपास तकनीकों का एक अच्छा सारांश है।
• Maldev-Academy/HellHall: अप्रत्यक्ष स्वच्छ सिस्कॉल करना
  • एक तकनीक जिसे HellsGate कहा जाता है, जो मेमोरी में एक मान के माध्यम से सिस्टम कॉल नंबर निर्दिष्ट करती है, इसे NTDLL में उस पते को निर्दिष्ट करके सिस्टम कॉल कॉल करने की तकनीक के साथ संयोजित किया जाता है जहाँ syscall निर्देश लागू किया गया है, बिना syscall निर्देश को कॉल किए।
• TheD1rkMtr/UnhookingPatch: NT API स्टब को पैच करके और रनटाइम पर SSN और syscall निर्देशों को हल करके EDR हुक को बाईपास करें
• RedTeamOperations/Journey-to-McAfee
• op7ic/EDR-Testing-Script: सरल स्क्रिप्ट के साथ एंडपॉइंट डिटेक्शन एंड रिस्पॉन्स (EDR) सॉफ़्टवेयर की सटीकता का परीक्षण करें जो विभिन्न ATT&CK/LOLBAS/Invoke-CradleCrafter/Invoke-DOSfuscation पेलोड को निष्पादित करती है
• zer0condition/mhydeath: AVs / EDRs / XDRs / संरक्षित प्रक्रियाओं को मारने के लिए mhyprotect का दुरुपयोग
  • Crowdstrike Falcon और Microsoft Defender को बलपूर्वक बंद करने का डेमो
• Mr-Un1k0d3r/RedTeamCCode: रेड टीम C कोड रिपॉजिटरी
• BYOSI: अपना स्वयं का स्क्रिप्ट इंटरप्रेटर लाकर EDR को बाईपास करें
• Polydrop: विस्तारित BYOSI हमला, 12 अतिरिक्त भाषाओं का लाभ उठाता है।
• senzee1984/EDRPrison: EDR एजेंटों को टेलीमेट्री भेजने से रोकने के लिए एक वैध WFP कॉलआउट ड्राइवर का लाभ उठाएं
• S3cur3Th1sSh1t/Ruy-Lopez: नवनिर्मित प्रक्रिया में DLL को लोड होने से पूरी तरह रोकने के लिए एक नए दृष्टिकोण का प्रमाण-अवधारणा (PoC)
  • यह पोस्ट तकनीक की पृष्ठभूमि और विवरण को कवर करेगी।

उपकरण

• tanc7/EXOCET-AV-Evasion: EXOCET - AV-एवेडिंग, अज्ञेय, पेलोड डिलीवरी टूल
• naksyn/Pyramid: EDRs के ब्लाइंड स्पॉट में काम करने में मदद करने वाला उपकरण
• Yaxser/Backstab: एंटीमैलवेयर संरक्षित प्रक्रियाओं को मारने का उपकरण
• klezVirus/inceptor: टेम्पलेट-संचालित AV/EDR एवेज़न फ्रेमवर्क
• georgesotiriadis/Chimera: EDR एवेज़न क्षमताओं के साथ स्वचालित DLL साइडलोडिंग टूल
• netero1010/EDRSilencer: एक उपकरण जो विंडोज फिल्टरिंग प्लेटफॉर्म (WFP) का उपयोग करके एंडपॉइंट डिटेक्शन एंड रिस्पॉन्स (EDR) एजेंटों को सर्वर को सुरक्षा ईवेंट रिपोर्ट करने से रोकता है।
• wavestone-cdt/EDRSandblast
• myzxcg/RealBlindingEDR: AV/EDR कर्नेल ObRegisterCallbacks, CmRegisterCallback, MiniFilter कॉलबैक, PsSetCreateProcessNotifyRoutine कॉलबैक, PsSetCreateThreadNotifyRoutine कॉलबैक, PsSetLoadImageNotifyRoutine कॉलबैक हटाएं...
• jthuraisamy/SysWhispers2: यूज़रलैंड API हुक को बाईपास करने के लिए प्रत्यक्ष सिस्टम कॉल जनरेटर
• klezVirus/SysWhispers3: हेडर/ASM फ़ाइलें जनरेट करें जिनका उपयोग इम्प्लांट प्रत्यक्ष सिस्टम कॉल करने के लिए कर सकते हैं
• d1rkmtrr/dark-kill: एक यूज़र-मोड कोड और उसका रूटकिट जो प्रोसेस क्रिएशन ब्लॉकिंग कर्नेल कॉलबैक रूटीन रजिस्टरिंग और ZwTerminateProcess की शक्ति का लाभ उठाकर EDR प्रक्रियाओं को स्थायी रूप से मार देगा।
• thomasxm/BOAZ_beta: बहुस्तरीय AV/EDR एवेज़न फ्रेमवर्क

कार्यशाला

यह EDR बाईपास करने की कार्यशाला से अधिक पेनटेस्टर्स के लिए मैलवेयर विकास कार्यशाला है।

• chvancooten/maldev-for-dummies: मैलवेयर डेवलपमेंट के बारे में एक कार्यशाला
• BC-SECURITY/Beginners-Guide-to-Obfuscation
• chr0n1k/AH2021Workshop: रेड टीमिंग कार्यशाला के लिए मैलवेयर डेवलपमेंट
• WesleyWong420/RedTeamOps-Havoc-101: कार्यशाला "रेड टीम ऑप्स: हैवॉक 101" के लिए सामग्री

प्रस्तुति

• Lifting the veil, a look at MDE under the hood - FIRST CONFERENCE 2022
• Dirty Vanity: कोड इंजेक्शन और EDR बाईपास के लिए एक नया दृष्टिकोण - ब्लैक हैट यूरोप 2022
• talks/Diego Capriotti - DEFCON30 Adversary Village - Python vs Modern Defenses.pdf
• अपना खुद का RAT विकसित करें
• EDR एवेज़न प्राइमर फॉर रेड टीमर्स - कार्स्टन नोहल और जॉर्ज जिमेनेज - हैक इन द बॉक्स 2022 सिंगापुर
• EDR Reloaded: Erase Data Remotely - ब्लैक हैट एशिया 2024 | ब्रीफिंग्स शेड्यूल
• EvilEDR: EDR को एक आक्रामक उपकरण के रूप में पुनर्उपयोग - USENIX सुरक्षा 2025
  • दर्शाता है कि कैसे EDR सिस्टम का उपयोग आक्रामक उपयोग, मनमानी कमांड निष्पादित करने, डेटा निकालने और रक्षाओं को कमजोर करने के लिए किया जा सकता है। आर्टिफैक्ट रिपॉजिटरी Zenodo प्लेटफ़ॉर्म पर होस्ट की गई है और निम्नलिखित स्थायी URL के माध्यम से सार्वजनिक रूप से सुलभ है:https://doi.org/10.5281/zenodo.15116409
• Hiding Payloads in Plain .text, bypass EDRs which use Shannon entropy for detection - x33fcon 2024
  • इस प्रस्तुति के लिए कोड रिपॉजिटरी
  • इस विषय से संबंधित कुछ ब्लॉग:
    • https://redsiege.com/blog/2023/04/evading-crowdstrike-falcon-using-entropy/
    • https://redops.at/en/blog/meterpreter-vs-modern-edrs-in-2023
    • https://practicalsecurityanalytics.com/file-entropy/

ब्लॉग

• Living-Off-the-Blindspot - EDRs के ब्लाइंडस्पॉट में काम करना | Naksyn का ब्लॉग
  • वह व्यक्ति जो Python में कड़ी मेहनत करता है; PEP 578 – Python रनटाइम ऑडिट हुक का उपयोग करता है।
• CrowdStrike Falcon EDR सुरक्षा को बाईपास करें प्रोसेस डंप जैसे lsass.exe के खिलाफ | bilal al-qurneh | मीडियम
  • कहानी यह है कि एक फोरेंसिक टूल का उपयोग बिना पता लगाए मेमोरी डंप करने के लिए किया जा सकता है। यह एक उदाहरण है कि कैसे एक वैध उद्देश्य के लिए एक उपकरण जो हमला उपकरण नहीं है, का उपयोग बिना पता लगाए हमले में किया जा सकता है।
• CrowdStrike Falcon और MDE को बाईपास करना
• अत्याधुनिक EDRs परिपूर्ण नहीं हैं, सामान्य हमलों का पता लगाने में विफल - रिकॉर्ड फ्रॉम रिकॉर्डेड फ़्यूचर न्यूज़
  • एन अनुभवजन्य मूल्यांकन ऑफ़ एंडपॉइंट सिक्योरिटी सिस्टम्स अगेंस्ट एडवांस्ड पर्सिस्टेंट थ्रेट्स अटैक वेक्टर्स पर टिप्पणी
• EDR बाईपास विधियों की एक कहानी | S3cur3Th1sSh1t
• Blindside: हार्डवेयर ब्रेकपॉइंट्स के साथ EDR एवेज़न के लिए एक नई तकनीक - Cymulate
• एक EDR पर हमला - भाग 1
• एक EDR पर हमला - भाग 2
• EDR का डार्क साइड: EDR को आक्रामक उपकरण के रूप में पुनर्उपयोग करें | SafeBreach
  • संभवतः EDR का डार्क साइड: EDR को आक्रामक उपकरण के रूप में पुनर्उपयोग करें - ब्लैक हैट एशिया 2024 के समान सामग्री
  • Palo Alto Networks के Cortex XDR पर ध्यान केंद्रित करते हुए, रिपोर्ट एक केस स्टडी प्रस्तुत करती है कि कैसे EDR एक गुप्त और अद्वितीय लगातार मैलवेयर में बदल गया।

BYOVD

• EDR बाईपास परीक्षण से पता चलता है जबरन वसूली अभिनेता की टूलकिट
• कमजोर ड्राइवर भूल जाएं - एडमिन ही सब कुछ है — Elastic सिक्योरिटी लैब्स
• अपना खुद का बैकडोर लाएं: कैसे कमजोर ड्राइवर हैकर्स को अंदर आने देते हैं - VMware सिक्योरिटी ब्लॉग - VMware
• यह वापस आएगा: हमलावर अभी भी टर्मिनेटर टूल और वेरिएंट का दुरुपयोग कर रहे हैं – Sophos News
• रिट्रोसाइन्ड ड्राइवर और सिस्टम टाइम मैनिपुलेशन के माध्यम से EDR को बाईपास करना
  • रिट्रोसाइन्ड ड्राइवर लक्ष्य सिस्टम पर सिस्टम क्लॉक को बदलकर दुर्भावनापूर्ण कर्नेल ड्राइवरों को लोड करने के लिए पिछली तकनीकों का विस्तार करते हैं जो ऐतिहासिक रूप से समझौता किए गए समाप्त क्रॉस-साइनिंग प्रमाणपत्रों द्वारा हस्ताक्षरित थे।
• ThanniKudam/TopazTerminator: बस एक और EDR किलर
  • PoC

सैंडबॉक्स / कंटेनर

• लाइव ऑफ द लैंड? अपना खुद का द्वीप लाने के बारे में कैसे? UNC1945 का अवलोकन | Mandiant | Google क्लाउड ब्लॉग
• अपना खुद का कंटेनर लाएं: जब कंटेनर EDR बाईपास की कुंजी बन जाते हैं - स्पीकर डेक
• सैंडबॉक्स हैक करें: गायब होने वाले आर्टिफैक्ट के पीछे की सच्चाई उजागर करना | JSAC 2025

macOS

• macOS और Linux के लिए EDR इंटर्नल्स | Outflank सिक्योरिटी ब्लॉग
• macOS में इन-मेमोरी निष्पादन: पुराना और नया | मेटा रेड टीम X

पुस्तक

• Evading EDR | No Starch प्रेस

अन्य अद्भुत श्रृंखला

• MrEmpy/Awesome-AV-EDR-XDR-Bypass: अद्भुत AV/EDR/XDR बाईपास टिप्स