텔레메트리 소서러

소개

Telemetry Sourcerer는 Windows에서 AV/EDR이 사용하는 일반적인 텔레메트리 소스를 열거하고 비활성화할 수 있습니다.

레드 팀원과 보안 애호가는 연구실 환경에서 이 도구를 사용하여 다음을 수행할 수 있습니다:

상대하는 제품의 수집 기반 사각지대를 식별합니다.
특정 유형의 이벤트를 생성하는 텔레메트리 소스를 확인합니다.
도구의 변조 기능 사용이 탐지로 이어질 수 있는지 검증합니다.

개인 연구실 구축에 대한 자세한 내용은 제 게시물인 EDR 텔레메트리를 개인 인프라로 전환하기를 참고하세요.

OPSEC 경고: 이 도구를 대상 환경에서 사용하는 것이 가능하지만, 모든 공격적 보안 도구를 있는 그대로 사용할 때는 OPSEC 위험이 있습니다. 대신 이 프로젝트의 코드를 자체 도구에 활용하여 운영 목적으로 사용하고 다른 기술과 결합하여 생성되는 발자국을 줄일 수 있습니다.

기능

다양한 커널 모드 콜백을 열거하고 이를 억제할 수 있습니다.
프로세스 내의 인라인 사용자 모드 후크를 감지하고 이를 해제할 수 있습니다.
ETW 세션 및 공급자를 나열하고 잠재적으로 관련 있는 항목을 강조 표시하여 비활성화할 수 있습니다.

스크린샷

사용 지침

최신 릴리스를 다운로드합니다.
파일을 추출합니다.
실행 파일을 실행합니다 (커널 모드 콜백 또는 더 많은 ETW 세션을 위해 관리자 권한으로 실행).

커널 모드 콜백

커널 모드 콜백을 보려면 드라이버를 로드하기 위해 관리자 권한으로 도구를 실행해야 합니다. 드라이버는 서명되지 않은 상태로 제공되므로 테스트 서명 모드를 활성화하거나, 드라이버 서명 적용(DSE)을 일시적으로 비활성화하거나, 유효한 인증서로 드라이버에 서명하는 것을 고려하세요:

테스트 서명 모드

BitLocker 및 Secure Boot를 비활성화합니다.
관리자 권한의 명령 프롬프트 창을 엽니다.
bcdedit.exe -set TESTSIGNING ON을 입력합니다.
시스템을 재부팅합니다.
Telemetry Sourcerer를 관리자 권한으로 실행합니다.

KDU로 DSE 비활성화

git clone https://github.com/hfiref0x/KDU.git
관리자 권한의 명령 프롬프트 창을 엽니다.
kdu -dse 0을 입력하여 DSE를 비활성화합니다.
Telemetry Sourcerer를 관리자 권한으로 실행합니다.
kdu -dse 6을 입력하여 DSE를 활성화합니다.

이 옵션은 Windows 8.1 이상에서 KPP와 호환되지 않을 수 있습니다.

드라이버 서명

Windows SDK에서 SignTool을, Microsoft Docs에서 적절한 크로스 인증서를 가져옵니다.
signtool sign /a /ac "cross-cert.cer" /f "cert.pfx" /p "password" TelemetrySourcererDriver.sys
Telemetry Sourcerer를 관리자 권한으로 실행합니다.

주의 사항 및 한계

이 도구는 연구 목적으로만 사용되며 프로덕션 환경에서 OPSEC에 안전하지 않습니다.
Windows 10 SDK(10.0.19041.0) 및 WDK(2004)를 사용하여 Visual Studio 2019로 컴파일되었습니다.
현재 IAT/EAT 사용자 모드 후크 또는 커널 모드 후크를 찾지 않습니다.
드라이버는 악용 사례에 대해 철저히 테스트되지 않았습니다.
Windows 7 및 10(x64)에서만 테스트되었습니다.

크레딧

이 도구는 @Jackson_T에 의해 개발되었지만 다른 사람들의 작업을 기반으로 합니다:

@gentilkiwi와 @fdiskyou: 콜백 함수를 열거하는 드라이버 코드.
@0x00dtm: 인라인 사용자 모드 후크 비교 로직.

라이선스

이 프로젝트는 Apache License 2.0에 따라 라이선스가 부여됩니다.

TelemetrySourcerer

인기