Obex - DLL 차단

Obex는 원치 않는 모듈(예: EDR 또는 모니터링 라이브러리)이 프로세스 초기화 중 또는 런타임에 새로 시작된 프로세스에 로드되는 것을 방지하는 데 사용할 수 있는 PoC 도구/기법입니다.

기능

• 디버그 제어 하에 인수를 포함한 모든 프로세스를 생성합니다.
• 이름으로 구성 가능한 DLL 목록을 차단합니다.
• 시작 DLL과 동적으로 로드되는 DLL(LoadLibrary*) 모두에서 작동합니다.
• 외부 종속성 없이 순수 C 언어로 작성되었습니다.

사용법

obex.exe "<command with args>" [dll1.dll,dll2.dll,...]

• DLL 목록이 제공되지 않으면 기본 차단 목록이 사용됩니다(작성 시점 기준으로는 amsi.dll뿐입니다).
• DLL 이름은 대소문자를 구분하지 않습니다.

작동 원리

CLI 인수 구문 분석 외에도 이 PoC는 다음을 수행합니다(대략적인 개요):

더 깊이 이해하려면 코드를 확인하거나(당연히) 디스코드 또는 트위터로 연락하세요.

스크린샷

스크린샷은 가 기본 차단 목록(만 포함)으로 를 생성하는 모습을 보여줍니다. 또한 생성된 프로세스의 모듈 목록을 통해 이 로드되지 않았음을 확인할 수 있습니다.