SNEK Equinox

Nightmare-Eclipse氏のプロジェクトUnDefend（https://web.archive.org/web/20260521145157/https://github.com/Nightmare-Eclipse/UnDefend）からインスピレーションを得たことに感謝します（個人的なものではありません）：

面白いことに、Defenderが最新の更新で稼働しているようにEDR Webコンソールに偽装する方法を見つけました。コードを公開しようかと考えましたが、あまりにも大きな損害を引き起こすため、今のところは保管しておこうと思います。

- Nightmare-Eclipse

ビルドファイルはお使いのマシンで正しく動作するように編集する必要があるかもしれません。ユニバーサルではありません。

ここにあるものは？

これは、Windows Defender EDRに対するテレメトリのスプーフィングを理論的に実証するPoC実装です。Defenderのシグネチャ更新メカニズムに対するTOCTOU競合状態攻撃を示そうとしています。保護が無効になっているにもかかわらず、コンソールに保護状態が表示されるようにするはずです。

しかし、これはあくまで理論上の話です。実際には、私も私の関係者も、これを適切にテストして動作するかどうか、どのようなバグがある可能性があるかを確認する時間がありませんでした。そのため、フィードバックはいつも通り歓迎します。

ビルド方法は？

build.bat

出力バイナリ: bin\run.exe, bin\Equinox.exe, bin\spoof.exe, bin\vers.exe

今回はプリコンパイル済みのものはありません。

実行

非昇格モード

bin\Equinox.exe

• シグネチャファイルをロックして読み込みを防ぐ
• Defenderはシグネチャがあるように見えるが読み込めない
• ローカルの脅威検出はこれにより無効になるはず
• クラウドコンソールは最後にキャッシュされた状態を表示する（最近クエリされていなければ正常に見える可能性あり）

昇格モード

bin\run.exe

管理者権限が必要です。順序:

1. spoof.exe - 正常性レジストリ値を設定
2. vers.exe - バージョンレジストリ値を設定
3. Equinox.exe - シグネチャファイルをロック

これ以上詳しく説明するつもりはありません。皆さんは自分でほとんどのことを理解できるでしょう ;P