Awesome EDR Bypass　

🛡️ 倫理的なハッキングのための Awesome EDR バイパスリソース ⚔️

EDR バイパス技術は攻撃者だけのものではありません。多くのマルウェアが EDR バイパス機能を備えており、ペネトレーションテスターやインシデントレスポンダーもその知識を理解しておくべきです。このリポジトリは攻撃のエスカレーションを目的としたものではありません。倫理的なハッキングに使用してください。

PoC

• trickster0/TartarusGate: TartarusGate、EDRバイパス
• am0nsec/HellsGate: Hell's Gate VX テクニックのオリジナル C 実装
  • 論文 PDF には EDR バイパス技術の優れた要約があります。
• Maldev-Academy/HellHall: 間接的なクリーンシステムコールの実行
  • メモリ内の値を介してシステムコール番号を指定する HellsGate と呼ばれる技法と、syscall 命令を呼び出さずに NTDLL 内で syscall 命令が実装されているアドレスを指定してシステムコールを呼び出す技法を組み合わせたもの。
• TheD1rkMtr/UnhookingPatch: NT API スタブにパッチを適用し、ランタイムに SSN と syscall 命令を解決して EDR フックをバイパスする
• RedTeamOperations/Journey-to-McAfee
• op7ic/EDR-Testing-Script: シンプルなスクリプトで様々な ATT&CK/LOLBAS/Invoke-CradleCrafter/Invoke-DOSfuscation ペイロードを実行し、エンドポイント検出・対応 (EDR) ソフトウェアの精度をテスト
• zer0condition/mhydeath: mhyprotect を悪用して AV/EDR/XDR/プロテクトプロセスを強制終了
  • Crowdstrike Falcon および Microsoft Defender を強制終了するデモ
• Mr-Un1k0d3r/RedTeamCCode: Red Team C コードリポジトリ
• BYOSI: 独自のスクリプトインタプリタを持ち込んで EDR をバイパス
• Polydrop: 拡張版 BYOSI 攻撃、さらに12の言語を活用
• senzee1984/EDRPrison: 正規の WFP コールアウトドライバを悪用して EDR エージェントのテレメトリ送信を阻止
• S3cur3Th1sSh1t/Ruy-Lopez: 新しく生成されたプロセスへの DLL の読み込みを完全に防止する新しいアプローチの Proof-of-Concept (PoC)
  • こちらの投稿で背景と技法の説明をカバーしています。

ツール

• tanc7/EXOCET-AV-Evasion: EXOCET - 検知を回避し、検出不可能なペイロード配信ツール
• naksyn/Pyramid: EDR の盲点を突くためのツール
• Yaxser/Backstab: アンチマルウェア保護プロセスを強制終了するツール
• klezVirus/inceptor: テンプレート駆動の AV/EDR 回避フレームワーク
• georgesotiriadis/Chimera: EDR 回避機能を備えた自動 DLL サイドローディングツール
• netero1010/EDRSilencer: Windows フィルタリングプラットフォーム (WFP) を使用して EDR エージェントがサーバーにセキュリティイベントを報告するのをブロックするツール
• wavestone-cdt/EDRSandblast
• myzxcg/RealBlindingEDR: AV/EDR カーネルコールバック（ObRegisterCallbacks、CmRegisterCallback、MiniFilter Callback、PsSetCreateProcessNotifyRoutine Callback、PsSetCreateThreadNotifyRoutine Callback、PsSetLoadImageNotifyRoutine Callback など）を除去
• jthuraisamy/SysWhispers2: ユーザーランド API フックをバイパスするための直接システムコール生成器
• klezVirus/SysWhispers3: インプラントが直接システムコールを行えるようにするヘッダー/ASM ファイルを生成
• d1rkmtrr/dark-kill: Process Creation Blocking Kernel Callback Routine の登録と ZwTerminateProcess の力を活用して EDR プロセスを永続的に強制終了するユーザーモードコードとそのルートキット
• thomasxm/BOAZ_beta: 多層 AV/EDR 回避フレームワーク

ワークショップ

EDR をバイパスするワークショップというよりも、ペネトレーションテスター向けのマルウェア開発ワークショップです。

• chvancooten/maldev-for-dummies: マルウェア開発に関するワークショップ
• BC-SECURITY/Beginners-Guide-to-Obfuscation
• chr0n1k/AH2021Workshop: レッドチーム向けマルウェア開発ワークショップ
• WesleyWong420/RedTeamOps-Havoc-101: ワークショップ「Red Team Ops: Havoc 101」の教材

プレゼンテーション

• ベールを剥ぐ：MDE の内部を覗く - FIRST CONFERENCE 2022
• Dirty Vanity: コードインジェクションと EDR バイパスの新しいアプローチ - Black Hat Europe 2022
• talks/Diego Capriotti - DEFCON30 Adversary Village - Python vs Modern Defenses.pdf
• 独自の RAT を開発する
• レッドチーム向け EDR 回避入門 - Karsten Nohl & Jorge Gimenez - Hack in the Box 2022 シンガポール
• EDR Reloaded: データのリモート消去 - Black Hat Asia 2024 | ブリーフィングスケジュール
• EvilEDR: EDR を攻撃ツールとして再利用する - USENIX Security 2025
  • EDR システムを攻撃目的で使用し、任意のコマンド実行、データ窃取、防御妨害を行う方法を示しています。成果物リポジトリは Zenodo プラットフォームでホストされており、以下の恒久的な URL から公開アクセス可能です：https://doi.org/10.5281/zenodo.15116409
• ペイロードを Plain .text に隠蔽し、Shannon エントロピーを使用して検出する EDR をバイパス - x33fcon 2024
  • このプレゼンテーションのコードリポジトリ
  • 関連ブログ記事：
    • https://redsiege.com/blog/2023/04/evading-crowdstrike-falcon-using-entropy/
    • https://redops.at/en/blog/meterpreter-vs-modern-edrs-in-2023
    • https://practicalsecurityanalytics.com/file-entropy/