EDRSilencer

폐쇄 소스 도구인 MdSec NightHawk의 FireBlock에 영감을 받아, 직접 만든 버전을 만들기로 했고, 이 도구는 Windows Filtering Platform(WFP) API를 사용하여 실행 중인 EDR 프로세스의 아웃바운드 트래픽을 차단할 목적으로 만들어졌습니다.

이 도구는 다음 기능을 제공합니다:

• 알려진 실행 중인 EDR 프로세스를 검색하고 WFP 필터를 추가하여 아웃바운드 트래픽 차단
• 특정 프로세스에 대한 WFP 필터 추가
• 이 도구로 생성된 모든 WFP 필터 제거
• 필터 ID를 기반으로 특정 WFP 필터 제거
• 인메모리 PE 실행 모듈(예: BruteRatel의 memexec)을 사용하는 C2에서 실행 지원
• 일부 EDR 제어(예: minifilter)는 프로세스가 해당 EDR 프로세스의 파일 핸들을 얻으려고 할 때(예: CreateFileW 통해) 접근을 거부합니다. 그러나 대상 EDR 프로세스의 FWP 앱 ID를 얻는 데 사용되는 FwpmGetAppIdFromFileName0 API는 내부적으로 CreateFileW를 호출합니다. 이를 피하기 위해 CreateFileW를 호출하지 않고 앱 ID를 구성하는 사용자 지정 FwpmGetAppIdFromFileName0을 구현하여 EDR 프로세스에 WFP 필터를 추가할 때 예기치 않은 실패를 방지했습니다.

현재 이 도구는 다음 EDR을 지원합니다:

• Microsoft Defender for Endpoint 및 Microsoft Defender Antivirus
• Elastic EDR
• Trellix EDR
• Qualys EDR
• SentinelOne
• Cylance
• Cybereason
• Carbon Black EDR