EDRSilencer

Ispirato allo strumento closed source FireBlock FireBlock di MdSec NightHawk, ho deciso di creare la mia versione e questo strumento è stato creato con l'obiettivo di bloccare il traffico in uscita dei processi EDR in esecuzione tramite le API Windows Filtering Platform (WFP).

Questo strumento offre le seguenti funzionalità:

• Ricerca dei processi EDR noti in esecuzione e aggiunta di un filtro WFP per bloccarne il traffico in uscita
• Aggiunta di un filtro WFP per un processo specifico
• Rimozione di tutti i filtri WFP creati da questo strumento
• Rimozione di un filtro WFP specifico tramite il relativo ID
• Supporto per l'esecuzione in C2 con modulo di esecuzione PE in memoria (ad es., BruteRatel's memexec)
• Alcuni controlli EDR (ad es., minifilter) negano l'accesso quando un processo tenta di ottenere un handle di file dei propri processi EDR (ad es., tramite CreateFileW). Tuttavia, l'API FwpmGetAppIdFromFileName0, utilizzata per ottenere l'ID app FWP del processo EDR preso di mira, chiama CreateFileW internamente. Per evitare questo problema, è stata implementata una versione personalizzata di FwpmGetAppIdFromFileName0 per costruire l'ID app senza invocare CreateFileW, prevenendo così errori imprevisti durante l'aggiunta di un filtro WFP a un processo EDR