AV/EDR 랩 환경 구축

처음에는 Maldev Academy Discord에서 가져왔고 더 많은 리소스를 추가했습니다.

Notion 노트 : https://an0nud4y.notion.site/AV-EDR-Lab-Env-Setup-130bc870022d8071935cc682d3eb34b9?pvs=4

• 유료 EDR이 보유한 특정 기능을 에뮬레이션하는 데 사용할 수 있는 것들의 예:

  • SACL - sysmon

    • https://detect.fyi/sysmon-a-viable-alternative-to-edr-44d4fbe5735a?gi=eb4475ea6b3d
    • https://techcommunity.microsoft.com/t5/windows-server-for-it-pro/active-directory-hunting-set-up-advanced-monitoring-with-sysmon/m-p/3977120
    • Sysmon 구성 : https://github.com/SwiftOnSecurity/sysmon-config

  • HOOKS

    • bitdefender free : https://otterhacker.github.io/Malware/Function hooking.html
    • HookDetector (후킹된 모든 API 탐지) : https://github.com/matterpreter/OffensiveCSharp/tree/master/HookDetector
    • TelemetrySourcerer (AV/EDR이 사용하는 일반적인 텔레메트리 소스를 열거하고 비활성화. ETW, 사용자 모드 후크, 커널 콜백 포함) : https://github.com/jthuraisamy/TelemetrySourcerer

  • 사용자 모드에서 수동 syscall 탐지

    • https://github.com/jackullrich/syscall-detect
    • Windows에서 수동 syscall 실행을 식별하기 위해 현재 프로세스 후킹 : https://github.com/paranoidninja/Process-Instrumentation-Syscall-Hook
    • Hunt-Weird-Syscalls : https://github.com/thefLink/Hunt-Weird-Syscalls

  • PROCESS/PESCAN

    • Yapscan - 가능한 한 많은 Yara 규칙 모아두기
    • DetectItEasy(DIE) : https://github.com/horsicq/Detect-It-Easy

  • AMSI 공급자

    • AMSI 공급자 : https://github.com/jborean93/AmsiProvider

  • ETW-TI/ETW 공급자/소비자 -

    • silketw : https://otterhacker.github.io/Malware/ETW.html
    • ETWInspector : https://github.com/jsecurity101/ETWInspector
    • 프로세스의 ETW 공급자 나열 : https://github.com/whokilleddb/ETWListicle
    • KrabsETW (Microsoft ETW 소비자) : https://github.com/microsoft/krabsetw
    • BlueKrabsETW (블루팀용, Microsoft의 KrabsETW 기반) : https://github.com/threathunters-io/bluekrabsetw
    • SealighterTI (위협 인텔리전스 ETW 공급자) : https://github.com/pathtofile/SealighterTI
    • TiEtwAgent (ETW-TI 기반 메모리 인젝션 탐지) : https://github.com/xuanxuan0/TiEtwAgent
    • PyWinTrace (ETW Python 라이브러리) : https://github.com/fireeye/pywintrace
    • EtwExplorer (ETW 공급자 매니페스트 보기) : https://github.com/zodiacon/EtwExplorer
    • TelemetrySourcerer (AV/EDR이 사용하는 일반적인 텔레메트리 소스를 열거하고 비활성화. ETW, 사용자 모드 후크, 커널 콜백 포함) : https://github.com/jthuraisamy/TelemetrySourcerer
    • MentalTi (ETWTi 파서) : https://github.com/mannyfred/MentalTi
    • PockETWatcher : https://github.com/olafhartong/PockETWatcher
    • ETW 리소스
      • EVTX/ETW(Windows 이벤트 추적)를 학습하고 이해하기 위한 리소스 포함 : https://github.com/nasbench/EVTX-ETW-Resources

  • 커널 콜백 -

    • Elastic
    • Sysmon
    • TelemetrySourcerer (AV/EDR이 사용하는 일반적인 텔레메트리 소스를 열거하고 비활성화. ETW, 사용자 모드 후크, 커널 콜백 포함) : https://github.com/jthuraisamy/TelemetrySourcerer

  • Capa - Capabilities 스캐닝

  • API 호출 추적 - TinyTracer

    • https://github.com/hasherezade/tiny_tracer

• Maldev용 Windows 텔레메트리 수집

  • ETW, ETW-TI, 커널 콜백, 후크, 콜스택, 로드된 DLL, PEB 등과 같은 텔레메트리 수집) : https://github.com/dobin/RedEdr , RedEDR UI (https://github.com/dobin/RedEdrUi) (작성자의 다른 프로젝트도 확인)

• 무료 체험판 EDR/AV 제품

  • Microsoft Defender For Endpoint
    • https://medium.com/@hackenbacker/creating-a-defender-for-endpoint-lab-for-free-695044b75bd6
    • https://learn.microsoft.com/en-us/defender-endpoint/defender-endpoint-trial-user-guide
  • Sophos XDR (체험판)
  • Elastic EDR
    • https://github.com/sherifabdlnaby/elastdocker
    • https://otterhacker.github.io/Malware/Elastic EDR.html
    • https://github.com/peasead/elastic-container
    • https://www.youtube.com/watch?v=1luhjL7TN9U
  • TrendMicro
  • McAfee MVISION
  • Avast
  • openEDR - Comodo 무료 EDR
  • Wazuh : https://github.com/wazuh/wazuh
  • Huntress Managed EDR - (15일 무료 체험, 신용카드 불필요, 실시간 SOC 분석가의 High/Critical 인시던트 보고서 3건) : https://www.huntress.com/edr-free-trial

• 오픈소스 EDR

  • RedEDR : https://github.com/dobin/RedEdr
  • SimpleEDR - 탐지 기회를 찾기 위한 수동 DLL 후킹 : https://github.com/Helixo32/SimpleEDR
  • CrimsonEDR : https://github.com/Helixo32/CrimsonEDR
  • OpenEDR : https://github.com/ComodoSecurity/openedr/
  • InjDrv : https://github.com/wbenny/injdrv
  • MyDumbEDR : https://github.com/sensepost/mydumbedr
  • BestEDROfTheMarket : https://github.com/Xacone/BestEdrOfTheMarket
  • JonMon : https://github.com/jsecurity101/JonMon
  • SylantStrike : https://github.com/CCob/SylantStrike
  • Whids : https://github.com/0xrawsec/whids
  • 나만의 EDR 직접 작성
    • https://blog.whiteflag.io/blog/from-windows-drivers-to-a-almost-fully-working-edr/
    • https://youtube.com/playlist?list=PLc2_LEyTNutFkUliQMTZ_FHl8kNx3f5-E&si=8kHcC_FIxccHBR5H
    • https://sensepost.com/blog/2024/sensecon-23-from-windows-drivers-to-an-almost-fully-working-edr/

• @dobin의 오픈소스 EDR 비교

  

• 이미지 로드 이벤트 스캐너

  • Hunt-Weird-ImageLoads : https://github.com/thefLink/Hunt-Weird-ImageLoads

• 프로세스 메모리 스캐너

  • PE-sieve : https://github.com/hasherezade/pe-sieve
  • Moneta : https://github.com/forrest-orr/moneta
  • YapScan : https://github.com/fkie-cad/yapscan
  • MalMemDetect : https://github.com/waldo-irc/MalMemDetect
  • Patriot : https://github.com/joe-desimone/patriot
  • Hunt-Sleeping-Beacons : https://github.com/thefLink/Hunt-Sleeping-Beacons
  • YaraMemoryScanner : https://github.com/BinaryDefense/YaraMemoryScanner
  • Cobalt Strike Beacon 탐지 전용 스캐너
    • BeaconEye : https://github.com/CCob/BeaconEye
    • BeaconHunter : https://github.com/3lp4tr0n/BeaconHunter
  • EtwTi-FluctuationMonitor - VirtualAlloc(RWX)를 수행하면 CFG 비트맵이 그에 따라 변경되고, 이후 VirtualAlloc(RW) 후에는 CFG가 동일하게 유지됨 : https://github.com/jdu2600/EtwTi-FluctuationMonitor
    • https://github.com/jdu2600/CFG-FindHiddenShellcode
    • https://github.com/jdu2600/Etw-SyscallMonitor
  • TiEtwAgent (ETW-TI 기반 메모리 인젝션 탐지) : https://github.com/xuanxuan0/TiEtwAgent

• 시그니처 탐지 우회

  • ThreatCheck : https://github.com/PACHAKUTlQ/ThreatCheck
  • AvRed : https://github.com/dobin/avred

악성코드 개발 머신 설정

• 악성코드를 작성하는 동안 Windows 텔레메트리가 걱정된다면 Windows 사용을 피하세요.
• Tiny11Builder (텔레메트리를 포함한 많은 불필요한 Windows 구성 요소를 제거하기 위함) (여기에서 가져옴) : https://github.com/ntdevlabs/tiny11builder

AV/EDR 내부 구조/ 텔레메트리/벤치마킹/동작 원리

• EDR 내부 구조

  • Matt Hand - Evading EDR 책
  • EDR 작동 방식 (The Anti-EDR Compendium) : https://blog.deeb.ch/posts/how-edr-works/

• EDR 내부 구조 / 동작 원리 강연

  • https://youtu.be/SYM4i474JqM?si=ak5fBhcMmHxsopUn
  • https://youtu.be/CKfjLnEMfvI?si=2iiKBt1El9PGnhEt
  • https://www.youtube.com/live/VwpTyS7l5yo?si=djCZpKyWHGm8042-
  • https://youtu.be/vdYdKmgm20U?si=KIUNis9VrO4clSqF

• EDR 텔레메트리 - 다양한 EDR 텔레메트리 : https://github.com/tsale/EDR-Telemetry

  • https://www.edr-telemetry.com/
  • EDR 텔레메트리 스프레드시트 : https://docs.google.com/spreadsheets/u/1/d/1ZMFrD6F6tvPtf_8McC-kWrNBBec_6Si3NW6AoWf3Kbg/htmlview

• Defender Harvester : https://github.com/olafhartong/DefenderHarvester

• EDR 후크 목록 : https://github.com/Mr-Un1k0d3r/EDRs

  • HookDetector (후킹된 모든 API 탐지) : https://github.com/matterpreter/OffensiveCSharp/tree/master/HookDetector

• Polonium : Binary-Offensive(@mariuszbit)의 Modern Initial Access and Evasion Tactics 과정에서 제공되는 도구. https://github.com/sponsors/mgeeky

• EDR 후크 텔레메트리

  
  • 출처 : https://github.com/helviojunior/hookchain/blob/main/HookChain_en_v1.5.pdf

크레딧

• 초기 목록을 제공해 준 MaldevAcademy Discord 멤버들에게 감사드립니다.
• 추가 리소스 목록과 오픈소스 EDR 비교표를 제공해 주신 @dobin님께 감사드립니다.
• Huntress Managed EDR 체험판 혜택을 공유해 주신 @fin3ss3g0d님께 감사드립니다.