🚴 process-enumeration-stealth

これは何ですか？

これは、\ntfs\ ベースデバイス（Windowsファイルシステム基本オブジェクト）を照会することで、現在NTFSを使用しているPIDのリストを返すことができるシンプルなPoCです。この方法を使用すると、NtQuerySystemInformation や高水準の EnumProcesses などの典型的なAPIを使用する必要がなくなります。この非典型的な偵察方法を使用することで、オペレーターはエンドポイント上の典型的なモニタリングを回避できる可能性があります🎉。このトリックを最初に見つけた Jonas Lyk に感謝します。

どのように機能しますか？

1. GENERIC_READ | SYNCHRONIZE を使用して \ntfs\ へのハンドルを取得する
2. NtQueryInformationFile API を使用して FileProcessIdsUsingFileInformation クラスで情報を照会する
3. PFILE_PROCESS_IDS_USING_FILE_INFORMATION のプロセスIDリストを走査する

その他

より迅速に連絡を取りたい場合は、Twitter または e-mail でお気軽にどうぞ。