SNEK Equinox

저는 UnDefend 프로젝트에서 (개인적인 것이 아닌) 영감을 주신 Nightmare-Eclipse님께 감사드리고 싶습니다 - https://web.archive.org/web/20260521145157/https://github.com/Nightmare-Eclipse/UnDefend:

사실 재미있게도, 저는 EDR 웹 콘솔을 속여서 Defender가 실제로는 그렇지 않은데도 최신 업데이트로 실행 중인 것처럼 표시하는 방법을 찾았습니다. 코드를 공개할까 생각했지만, 곰곰이 생각해 보면 너무 많은 피해를 입힐 수 있기 때문에 지금은 그걸 숨겨두려고 합니다.

- Nightmare-Eclipse

귀하의 머신에서 제대로 실행하려면 빌드 파일을 편집해야 할 수도 있습니다. 모든 환경에서 동작하는 건 아니니까요, 당연하죠.

그래서 여기에 뭐가 있나??

Windows Defender EDR에 대한 텔레메트리 스푸핑을 이론상 시연하는 PoC 구현체입니다. Defender 서명 업데이트 메커니즘에 대한 TOCTOU 경쟁 조건 공격을 시연하려고 시도합니다. 보호 기능이 비활성화된 상태에서도 콘솔에 보호됨 상태가 표시되도록 해야 합니다.

하지만 이는 모두 이론일 뿐입니다. 실제로 저나 제 동료들 중 누구도 이것을 제대로 테스트하여 작동 여부나 존재할 수 있는 버그를 확인할 시간이 없었습니다. 따라서 평소와 같이 피드백은 언제나 감사히 받겠습니다.

어떻게 빌드하나요??

build.bat

출력 바이너리: bin\run.exe, bin\Equinox.exe, bin\spoof.exe, bin\vers.exe

이번에는 사전 컴파일된 바이너리를 제공하지 않습니다.

실행

비관리자 모드

bin\Equinox.exe

• 서명 파일을 잠가 로드를 방지합니다
• Defender에는 서명이 있는 것처럼 보이지만 로드할 수 없습니다
• 이를 통해 로컬 위협 탐지가 비활성화되어야 합니다
• 클라우드 콘솔에는 마지막으로 캐시된 상태가 표시되어야 합니다 (최근에 조회하지 않았다면 여전히 정상으로 보일 수 있음)

관리자 모드

bin\run.exe

관리자 권한이 필요합니다. 순서:

1. spoof.exe - 레지스트리 상태(health) 값을 설정합니다
2. vers.exe - 레지스트리 버전 값을 설정합니다
3. Equinox.exe - 서명 파일을 잠급니다

더 자세히 설명하지는 않겠습니다. 여러분 스스로 많은 부분을 알아낼 수 있을 거예요 ;P