Obex - Blocco DLL

Obex è uno strumento/tecnica PoC che può essere utilizzato per impedire il caricamento di moduli indesiderati (ad es. librerie EDR o di monitoraggio) in un processo appena avviato, durante l'inizializzazione del processo o a runtime.

Caratteristiche

• Avvia qualsiasi processo con argomenti sotto controllo di debug.
• Blocca un elenco configurabile di DLL per nome.
• Funziona sia per le DLL di avvio che per le DLL caricate dinamicamente (LoadLibrary*).
• Scritto in C puro, senza dipendenze esterne.

Utilizzo

obex.exe "<comando con argomenti>" [dll1.dll,dll2.dll,...]

• Se non viene fornito alcun elenco di DLL, viene utilizzata una blocklist predefinita (al momento della scrittura solo amsi.dll).
• I nomi delle DLL non fanno distinzione tra maiuscole e minuscole.

Come Funziona?

Oltre all'analisi degli argomenti da riga di comando, il PoC esegue quanto segue (in una panoramica approssimativa):

Per una comprensione più approfondita, consulta il codice (ovviamente) o contattami su Discord o Twitter.

Schermata

La schermata mostra obex che avvia powershell.exe con la blocklist predefinita (solo amsi.dll). Inoltre, puoi vedere l'elenco dei moduli del processo avviato per verificare che amsi.dll non sia stata caricata.