멋진 EDR 우회　

🛡️ 윤리적 해킹을 위한 멋진 EDR 우회 자료 ⚔️

EDR 우회 기술은 공격자만을 위한 것이 아닙니다. 많은 악성코드가 이제 EDR 우회 기능을 갖추고 있어, 침투 테스터와 사고 대응자도 이에 대해 알고 있어야 합니다. 이 저장소는 공격을 확대하는 데 사용하기 위한 것이 아닙니다. 윤리적 해킹을 위해 사용하십시오.

PoC

• trickster0/TartarusGate: TartarusGate, EDR 우회
• am0nsec/HellsGate: Hell's Gate VX 기법의 원본 C 구현
  • 해당 논문 PDF는 EDR 우회 기법에 대한 좋은 요약을 제공합니다.
• Maldev-Academy/HellHall: 간접 클린 시스템 콜 수행
  • HellsGate라는 기법은 메모리 값을 통해 시스템 콜 번호를 지정하고, syscall 명령어를 직접 호출하지 않고 NTDLL 내에서 syscall 명령어가 구현된 주소를 지정하여 시스템 콜을 호출하는 기법을 결합한 것입니다.
• TheD1rkMtr/UnhookingPatch: NT API 스텁 패치 및 런타임 SSN 및 syscall 명령어 해결을 통한 EDR 후킹 우회
• RedTeamOperations/Journey-to-McAfee
• op7ic/EDR-Testing-Script: 다양한 ATT&CK/LOLBAS/Invoke-CradleCrafter/Invoke-DOSfuscation 페이로드를 실행하는 간단한 스크립트로 엔드포인트 탐지 및 대응(EDR) 소프트웨어의 정확성 테스트
• zer0condition/mhydeath: mhyprotect를 남용하여 AV/EDR/XDR/보호 프로세스 종료
  • Crowdstrike Falcon 및 Microsoft Defender를 강제 종료하는 데모
• Mr-Un1k0d3r/RedTeamCCode: 레드팀 C 코드 저장소
• BYOSI: 자체 스크립트 인터프리터를 가져와 EDR 우회
• Polydrop: 확장된 BYOSI 공격, 12개 추가 언어 활용
• senzee1984/EDRPrison: 합법적인 WFP 콜아웃 드라이버를 활용하여 EDR 에이전트가 원격 측정을 보내지 못하도록 방지
• S3cur3Th1sSh1t/Ruy-Lopez: 새로 생성된 프로세스에 DLL이 로드되는 것을 완전히 차단하는 새로운 접근 방식의 개념 증명(PoC)
  • 이 게시글에서 배경과 기법 설명을 다룹니다.

도구

• tanc7/EXOCET-AV-Evasion: EXOCET - AV 우회, 탐지 불가, 페이로드 전달 도구
• naksyn/Pyramid: EDR 사각지대에서 운영을 돕는 도구
• Yaxser/Backstab: 안티멀웨어 보호 프로세스를 종료하는 도구
• klezVirus/inceptor: 템플릿 기반 AV/EDR 우회 프레임워크
• georgesotiriadis/Chimera: EDR 우회 기능을 갖춘 자동화된 DLL 사이드로딩 도구
• netero1010/EDRSilencer: Windows 필터링 플랫폼(WFP)을 사용하여 엔드포인트 탐지 및 대응(EDR) 에이전트가 서버에 보안 이벤트를 보고하지 못하도록 차단하는 도구
• wavestone-cdt/EDRSandblast
• myzxcg/RealBlindingEDR: AV/EDR 커널 ObRegisterCallbacks, CmRegisterCallback, MiniFilter 콜백, PsSetCreateProcessNotifyRoutine 콜백, PsSetCreateThreadNotifyRoutine 콜백, PsSetLoadImageNotifyRoutine 콜백 제거...
• jthuraisamy/SysWhispers2: 사용자랜드 API 후킹을 우회하기 위한 직접 시스템 콜 생성기
• klezVirus/SysWhispers3: 임플란트가 직접 시스템 콜을 사용할 수 있도록 헤더/ASM 파일 생성
• d1rkmtrr/dark-kill: 사용자 모드 코드와 루트킷으로, 프로세스 생성 차단 커널 콜백 루틴 등록 및 ZwTerminateProcess의 힘을 이용하여 EDR 프로세스를 영구적으로 종료
• thomasxm/BOAZ_beta: 다계층 AV/EDR 우회 프레임워크

워크숍

EDR 우회 워크숍이라기보다 침투 테스터를 위한 악성코드 개발 워크숍에 가깝습니다.

• chvancooten/maldev-for-dummies: 악성코드 개발에 관한 워크숍
• BC-SECURITY/Beginners-Guide-to-Obfuscation
• chr0n1k/AH2021Workshop: 레드팀을 위한 악성코드 개발 워크숍
• WesleyWong420/RedTeamOps-Havoc-101: 워크숍 'Red Team Ops: Havoc 101' 자료

프레젠테이션

• 베일 벗기기, MDE 내부 살펴보기 - FIRST CONFERENCE 2022
• Dirty Vanity: 코드 인젝션 & EDR 우회의 새로운 접근 방식 - Black Hat Europe 2022
• talks/Diego Capriotti - DEFCON30 Adversary Village - Python vs Modern Defenses.pdf
• 자체 RAT 개발
• 레드팀을 위한 EDR 우회 입문서 - Karsten Nohl & Jorge Gimenez - Hack in the Box 2022 Singapore
• EDR Reloaded: 원격 데이터 삭제 - Black Hat Asia 2024 | Briefings Schedule
• EvilEDR: EDR을 공격 도구로 재사용 - USENIX Security 2025
  • EDR 시스템을 공격에 사용하여 임의 명령 실행, 데이터 유출, 방어 체계 약화 방법을 시연합니다. 아티팩트 저장소는 Zenodo 플랫폼에서 호스팅되며 다음 영구 URL을 통해 공개적으로 접근 가능합니다: https://doi.org/10.5281/zenodo.15116409
• 평문 .text에 페이로드 숨기기, Shannon 엔트로피를 사용하는 EDR 우회 - x33fcon 2024
  • 이 프레젠테이션의 코드 저장소
  • 관련 블로그:
    • https://redsiege.com/blog/2023/04/evading-crowdstrike-falcon-using-entropy/
    • https://redops.at/en/blog/meterpreter-vs-modern-edrs-in-2023
    • https://practicalsecurityanalytics.com/file-entropy/