Telemetry Sourcerer
はじめに
Telemetry Sourcerer は、Windows の AV/EDR で使用される一般的なテレメトリソースを列挙および無効化できます。
レッドチームやセキュリティ愛好家は、このツールをラボ環境で使用して、以下のことができます：
- 対象製品における収集ベースのブラインドスポットを特定する。
- 特定の種類のイベントを生成するテレメトリソースを特定する。
- ツールの改ざん機能を使用することで検出につながるかどうかを検証する。
プライベートラボの構築の詳細については、EDRテレメトリをプライベートインフラストラクチャに転送する に関する私の投稿をお読みください。
OPSEC警告: 対象環境でこれを使用することは可能ですが、攻撃用セキュリティツールをそのまま使用する場合にはOPSECリスクがあります。代わりに、このプロジェクトのコードを独自のツールに組み込んで運用に使用し、他の技術と組み合わせることで、生成されるフットプリントを減らすことができます。
機能
- カーネルモードコールバックを列挙し、抑制する機能を提供する。
- プロセス内のインラインユーザーモードフックを検出し、アンフックする機能を提供する。
- ETWセッションとプロバイダを一覧表示し、無効にすべき可能性のあるものを強調表示する。
スクリーンショット
使用手順
- 最新リリース をダウンロードする。
- ファイルを解凍する。
- 実行可能ファイルを起動する（カーネルモードコールバックやより多くのETWセッションのために管理者権限で実行する）。
カーネルモードコールバック
カーネルモードコールバックを表示するには、ドライバをロードするために管理者権限でツールを実行する必要があります。ドライバは署名されていないため、テスト署名モードを有効にする、ドライバ署名強制（DSE）を一時的に無効にする、または有効な証明書でドライバに署名することを検討してください：
テスト署名モード
- BitLockerとセキュアブートを無効にする。
- 管理者としてコマンドプロンプトを開く。
bcdedit.exe -set TESTSIGNING ON を入力する。- システムを再起動する。
- Telemetry Sourcerer を管理者権限で起動する。
KDU でDSEを無効にする
git clone https://github.com/hfiref0x/KDU.git- 管理者としてコマンドプロンプトを開く。
- DSEを無効にするために
kdu -dse 0 を入力する。
- Telemetry Sourcerer を管理者権限で起動する。
- DSEを有効にするために
kdu -dse 6 を入力する。
このオプションは、Windows 8.1以降の KPP と 互換性がない 可能性があります。
ドライバに署名する
- Windows SDKから SignTool を、Microsoft Docsから適切な クロス証明書 を入手する。
signtool sign /a /ac "cross-cert.cer" /f "cert.pfx" /p "password" TelemetrySourcererDriver.sys- Telemetry Sourcerer を管理者権限で起動する。
注意事項と制限事項
- このツールは研究目的のみを意図しており、本番環境での使用はOPSEC的に安全ではありません。
- Visual Studio 2019、Windows 10 SDK（10.0.19041.0）、WDK（2004）を使用してコンパイルされています。
- 現在、IAT/EATユーザーモードフックやカーネルモードフックは検索しません。
- ドライバは悪用ケースについて十分にテストされていません。
- Windows 7および10（x64）でのみテストされています。
クレジット
このツールは @Jackson_T によって開発されましたが、以下の人々の作業に基づいています：
関連記事とプロジェクト
ライセンス
このプロジェクトはApache License 2.0の下でライセンスされています。
