SilentButDeadly

概要

SilentButDeadlyは、Windowsフィルタリングプラットフォーム（WFP）を使用してEDR/AVソフトウェアのクラウド接続を防止するために特別に設計されたネットワーク通信ブロッカーツールです。このバージョンは、プロセスの終了を行わず、ネットワークの分離のみに焦点を当てています。

ブログ: https://ryan.framinan.net/blog/silentbutdeadly

プログラムの流れ

1. 初期化フェーズ

[*] 管理者権限を確認中...
[+] 管理者権限で実行中
[#] EDRの列挙を開始するには<Enter>を押してください...

• CheckTokenMembership() を使用して管理者権限を確認
• インタラクティブなプロンプトで実行を制御

2. EDR検出フェーズ

[*] 対象のセキュリティプロセスをスキャン中...
[+] SentinelAgent.exe (SentinelOne) を検出 - PID: 1234
[+] MsMpEng.exe (Windows Defender) を検出 - PID: 5678
[*] 見つかった対象プロセス: 2
[#] ネットワーク通信をブロックするには<Enter>を押してください...

• CreateToolhelp32Snapshot() を使用してプロセススナップショットを作成
• 実行中の全プロセスを列挙
• 事前定義されたEDR対象リストと照合
• PROCESS_QUERY_INFORMATION アクセス権でプロセスハンドルを開く

3. WFP初期化

[*] Windowsフィルタリングプラットフォームを初期化中...
[>] COMライブラリを初期化中
[>] WFPプロバイダーGUIDを生成中
[>] WFPエンジンハンドルを開いています
[+] Windowsフィルタリングプラットフォームが正常に初期化されました

• GUID生成のためにCOMを初期化
• 動的WFPセッションを作成（デフォルトでは非永続）
• 高優先度（0x7FFF）のプロバイダーとサブレイヤーを確立

4. ネットワークフィルターの実装

[*] EDR通信をブロックするネットワークフィルターを設定中...
[>] SentinelAgent.exe (PID: 1234) のフィルターを処理中
[>] プロセスパス: C:\Program Files\SentinelOne\Sentinel Agent\SentinelAgent.exe
[>] 送信フィルターが正常に追加されました
[>] 受信フィルターが正常に追加されました
[+] SentinelAgent.exe のネットワーク通信がブロックされました
[+] 2つのプロセスの通信ブロックが確立されました

各EDRプロセスに対して:

• QueryFullProcessImageNameW() を使用して完全なプロセスイメージパスを取得
• パスを FwpmGetAppIdFromFileName0() を使用してWFP AppID blobに変換
• プロセスごとに2つのフィルターを作成:
  • 送信フィルター: FWPM_LAYER_ALE_AUTH_CONNECT_V4 （発信接続をブロック）
  • 受信フィルター: FWPM_LAYER_ALE_AUTH_RECV_ACCEPT_V4 （着信接続をブロック）

5. サービス無効化フェーズ

[*] EDRサービスを無効化しようとしています...
[>] サービスを処理中: SentinelAgent
[>] 現在のサービス状態: 実行中
[>] サービスを停止しようとしています...
[+] SentinelAgent に停止シグナルを送信しました
[+] サービスが正常に停止しました
[+] サービス SentinelAgent が無効に設定されました
[+] 2つのEDRサービスを無効化しました

• サービスコントロールマネージャーを開く
• 各EDRサービスに対して:
  • グレースフルなサービス停止を試行
  • スタートアップの種類を SERVICE_DISABLED に変更
  • 自動再起動を防止

6. サマリー表示

=================================================================
                         操作サマリー                         
=================================================================
  [SentinelOne] SentinelAgent.exe - PID: 1234
  [Windows Defender] MsMpEng.exe - PID: 5678

  見つかったプロセス総数:    2
  適用されたネットワークブロック数:   2
  WFP状態:               アクティブ
=================================================================
[#] フィルターを削除して終了するには<Enter>を押してください...

7. クリーンアップフェーズ

[*] ネットワークブロックルールを削除中...
[+] ネットワークブロックルールが削除されました
[*] 操作完了

• WFPプロバイダーを削除（すべてのフィルターに連鎖）
• WFPエンジンハンドルを閉じる
• COMリソースを解放
• すべてのプロセスハンドルを閉じる

主要な技術詳細

WFPフィルター仕様

• レイヤー: アプリケーションレイヤー適用（ALE）
• 重み: 0x7FFF（高優先度）
• アクション: FWP_ACTION_BLOCK
• 条件: FWPM_CONDITION_ALE_APP_ID（プロセス固有）
• フラグ: FWPM_FILTER_FLAG_CLEAR_ACTION_RIGHT

サポート対象EDR

• SentinelOne（全コンポーネント）
• Windows Defender
• Windows Defender ATP（MsSense.exe）
• g_EDRTargets 配列で簡単に拡張可能

コマンドラインオプション

• -v, --verbose: 詳細な操作ログを有効化
• -p, --persistent: プログラム終了後もフィルターを維持
• -h, --help: 使用法情報を表示

エラーハンドリング

• 各段階での包括的なエラーチェック
• 部分的な障害に対するグレースフルフォールバック
• トラブルシューティングのための詳細なエラーコード

セキュリティ上の考慮事項

• 管理者権限が必要
• デフォルトでは非永続フィルター（終了時にクリア）
• ドライバーのロードやカーネル操作なし
• 正当なWindows APIのみを使用

運用上の影響

ネットワーク分離の影響

1. EDRがクラウド更新を受信できない
2. テレメトリのアップロードがブロックされる
3. リモート管理が無効になる
4. リアルタイム脅威インテリジェンスが遮断される

サービス無効化の影響

1. 自動再起動を防止
2. スケジュールスキャンを無効化
3. バックグラウンド監視を停止
4. 更新メカニズムを停止

検出ベクトル

• WFPフィルター作成イベント
• サービスの停止/無効イベント
• プロセスハンドルアクセスパターン
• 永続的なアーティファクトなし（-p フラグを使用しない限り）

使用シナリオ

1. テスト前エンゲージメント: 操作前にEDRバイパスを検証
2. 制御環境: マルウェア分析のためにEDRを隔離
3. レッドチーム運用: 初期足場の確立
4. セキュリティ研究: EDRの動作分析

制限事項

• IPv4のみ（IPv6には追加のレイヤーが必要）
• アクティブなEDRプロセスが必要（停止している場合は効果なし）
• 一部のEDRはカーネルレベルのネットワークドライバーを持つ可能性あり
• WFPが機能するにはWindowsファイアウォールが有効である必要がある