iamagarre/badexclusionsnwboBadExclusionsNWBO è un'evoluzione di BadExclusions per identificare esclusioni personalizzate o non documentate di cartelle su AV/EDR.
BadExclusionsNWBO è un'evoluzione di BadExclusions per identificare esclusioni di cartelle personalizzate o non documentate su AV/EDR.
BadExclusionsNWBO copia ed esegue Hook_Checker.exe in tutte le cartelle e sottocartelle di un dato percorso. Devi avere Hook_Checker.exe nella stessa cartella di BadExclusionsNWBO.exe.
Hook_Checker.exe restituisce il numero di hook EDR. Se il numero di hook è 7 o inferiore significa che la cartella ha un'esclusione, altrimenti la cartella non è esclusa.
Dal rilascio di BadExclusions ho pensato a come ottenere gli stessi risultati senza creare tutto quel rumore. La soluzione è arrivata da un altro strumento, https://github.com/asaurusrex/Probatorum-EDR-Userland-Hook-Checker.
Se scarichi Probatorum-EDR-Userland-Hook-Checker e lo esegui in una cartella normale e in una cartella con un tipo specifico di esclusione, noterai una grande differenza. Tutte le informazioni sono nel repository di Probatorum.
Ogni vendor applica le esclusioni in modo diverso. Per ottenere l'elenco delle esclusioni delle cartelle, deve essere effettuato un tipo specifico di esclusione. Non tutti i tipi di esclusione e non tutti i vendor rimuovono gli hook quando escludono una cartella.
L'utente che esegue BadExclusionsNWBO necessita dei permessi di scrittura sulla cartella esclusa per poter scrivere il file Hook_Checker e ottenere i risultati.
https://github.com/iamagarre/BadExclusionsNWBO/assets/89855208/46982975-f4a5-4894-b78d-8d6ed9b1c8c4
