Obex - DLLブロッキング

Obex は、プロセス初期化中または実行時に、新しく起動したプロセスへ不要なモジュール（例：EDRや監視ライブラリ）が読み込まれるのを防ぐために使用できるPoCツール/テクニックです。

特徴

• デバッグ制御下で、任意のプロセスを引数付きで生成します。
• 設定可能なDLLリストを名前でブロックします。
• 起動時DLLと動的に読み込まれるDLL（LoadLibrary*）の両方で機能します。
• 外部依存関係のないプレーンなC言語で記述されています。

使用方法

obex.exe "<command with args>" [dll1.dll,dll2.dll,...]

• DLLリストが指定されない場合、デフォルトのブロックリストが使用されます（執筆時点では amsi.dll のみ）。
• DLL名は大文字小文字を区別しません。

どのように動作するのか？

PoCはCLI引数の解析に加えて、以下の処理を行います（大まかな概要）：

より深く理解するにはコードを確認するか（当然ですが）、Discordまたは Twitter で私に連絡してください。

スクリーンショット

スクリーンショットは、obex がデフォルトのブロックリスト（amsi.dll のみ）で powershell.exe を生成している様子を示しています。 さらに、生成されたプロセスのモジュールリストを確認して、amsi.dll が読み込まれていないことを検証できます。