BadExclusions, 이제 더 나은 OPSEC과 함께

BadExclusionsNWBO는 BadExclusions에서 발전하여 AV/EDR의 폴더 사용자 정의 또는 문서화되지 않은 제외 항목을 식별합니다.

작동 방식

BadExclusionsNWBO는 주어진 경로의 모든 폴더와 하위 폴더에 Hook_Checker.exe를 복사하여 실행합니다. Hook_Checker.exe는 BadExclusionsNWBO.exe와 같은 폴더에 있어야 합니다.

Hook_Checker.exe는 EDR 후크의 수를 반환합니다. 후크 수가 7 이하이면 폴더에 제외 항목이 있음을 의미하고, 그렇지 않으면 폴더가 제외되지 않은 것입니다.

원래 아이디어?

BadExclusions 출시 이후로 동일한 결과를 너무 많은 노이즈를 만들지 않고 달성하는 방법에 대해 생각해 왔습니다. 해결책은 다른 도구인 https://github.com/asaurusrex/Probatorum-EDR-Userland-Hook-Checker 에서 나왔습니다.

Probatorum-EDR-Userland-Hook-Checker를 다운로드하여 일반 폴더와 특정 유형의 제외 항목이 있는 폴더에서 실행하면 큰 차이를 확인할 수 있습니다. 모든 정보는 Probatorum 저장소에 있습니다.

요구 사항

각 공급업체는 제외 항목을 다른 방식으로 적용합니다. 폴더 제외 목록을 얻으려면 특정 유형의 제외 항목이 생성되어야 합니다. 모든 유형의 제외 항목과 모든 공급업체가 폴더를 제외할 때 후크를 제거하는 것은 아닙니다.

BadExclusionsNWBO를 실행하는 사용자는 Hook_Checker 파일을 작성하고 결과를 얻기 위해 제외된 폴더에 대한 쓰기 권한이 필요합니다.

EDR 데모

https://github.com/iamagarre/BadExclusionsNWBO/assets/89855208/46982975-f4a5-4894-b78d-8d6ed9b1c8c4