NORM-EDR

NORM (Normal EDR) è un progetto di ricerca sperimentale EDR in modalità kernel incentrato sul rilevamento spiegabile piuttosto che sul blocco silenzioso.

Invece di assegnare punteggi o terminare processi, NORM risponde a una sola domanda:

Perché questo binario sembra sospetto?

Questo progetto è costruito passo dopo passo in pubblico come un percorso di apprendimento e ricerca su come gli EDR moderni ragionano sul comportamento.

---

v0.3 – Aggiornamento dello Scanner di Memoria del Kernel

Questa versione introduce una routine di scansione della memoria in grado di rilevare un comune pattern di esecuzione in memoria utilizzato da molti campioni di malware generici.

Il driver ora enumera le regioni di memoria dei processi e identifica la memoria sospetta con le seguenti caratteristiche:

• MEM_PRIVATE
• AllocationProtect = PAGE_READWRITE
• Protect = PAGE_EXECUTE_READ

Questo pattern si osserva comunemente quando lo shellcode viene scritto in memoria e successivamente marcato come eseguibile.

---

Flusso di Rilevamento

Il driver esegue i seguenti passaggi:

1. Un evento di creazione di un thread attiva la scansione della memoria.
2. Il driver si aggancia al processo di destinazione utilizzando KeStackAttachProcess.
3. Lo spazio degli indirizzi del processo viene enumerato utilizzando ZwQueryVirtualMemory.
4. Le regioni sospette che corrispondono al pattern di transizione RW → RX vengono segnalate.

Esempio di output di rilevamento

[ALERT] PID 4120 AllocationProtect: RW Protect: RX Type: PRIVATE

---

🧠 Cosa Rende Diverso NORM

• Nessun motore di punteggio
• Nessun blocco silenzioso
• Nessuna decisione opaca

Invece, NORM produce avvisi kernel chiari e leggibili dall'uomo come:

🔧 Compilazione e Configurazione del Laboratorio

NORM è un driver in modalità kernel e richiede un ambiente di laboratorio dedicato.

Una guida completa che copre:

• Configurazione della VM
• Firma di test
• Compilazione del driver
• Caricamento del driver

è disponibile qui:

📺 Come Compilare ed Eseguire NORM (Configurazione del Laboratorio Kernel)
👉 YouTube: https://www.youtube.com/watch?v=8NHgK_OSKj8

I passaggi di compilazione scritti sono volutamente omessi per mantenere la documentazione allineata con la serie video.

📜 Esclusione di responsabilità

Questo progetto è:

• Per apprendimento
• Per ricerca
• Per laboratori didattici

Non pronto per la produzione. Non distribuirlo su sistemi reali.

---

☕ Supporto

Se trovi utile questo progetto e vuoi sostenere lo sviluppo continuo, puoi aiutarmi offrendomi un caffè.

Il tuo supporto aiuta a coprire:

• Infrastruttura di laboratorio e crash delle VM
• Tempo di debug del kernel
• Scrittura di documentazione e post del blog
• Creazione di contenuti YouTube didattici

👉 Sostienimi su Buy Me a Coffee

Per Saperne di Più

Leggi le mie sfide e gli approfondimenti tecnici sul mio blog: rootfu.in.