breakcyserver

전체 게시물: https://waawaa.github.io/

1. EDR 프로세스의 열린 핸들을 모두 종료하여 EDR 서비스를 종료합니다.
2. Process Explorer 드라이버 기능 중 일부를 악용하여 PPL을 우회합니다.
3. Process Explorer 드라이버 기능을 악용하여 ObRegisterCallbacks 구현을 우회합니다.

PS: ProcessExplorer 없이 드라이버를 수동으로 로드하는 구현이 추가되었습니다.
LoadDriver.exe /LOAD
LoadDriver.exe /UNLOAD

Evasion Alert:

EDR과 XDR은 서명되지 않은 EXE가 드라이버를 로드하고 레지스트리 키를 추가하는 것을 감지할 수 있으므로 다음과 같은 트릭이 발견되었습니다.
당연히 procexp를 열면 피해자에게 알림이 가고 이상해 보일 수 있으므로 /t 플래그를 사용하면 procexp가
최소화된 상태로 열리고 서명된 바이너리 procexp64.exe에 의해 드라이버가 로드됩니다.

.\procexp64.exe -accepteula /t