Obex - Bloqueio de DLL

Obex é uma ferramenta/técnica de PoC que pode ser usada para impedir que módulos indesejados (por exemplo, EDR ou bibliotecas de monitoramento) sejam carregados em um processo recém-iniciado durante a inicialização do processo ou em tempo de execução.

Recursos

• Inicia qualquer processo com argumentos sob controle de depuração.
• Bloqueia uma lista configurável de DLLs por nome.
• Funciona tanto para DLLs de inicialização quanto para DLLs carregadas dinamicamente (LoadLibrary*).
• Escrito em C puro, sem dependências externas.

Uso

obex.exe "<command with args>" [dll1.dll,dll2.dll,...]

• Se nenhuma lista de DLLs for fornecida, uma lista de bloqueio padrão é usada (no momento em que este texto foi escrito, apenas amsi.dll).
• Os nomes de DLL não diferenciam maiúsculas de minúsculas.

Como Funciona?

Além de analisar os argumentos de linha de comando, o PoC faz o seguinte (em uma visão geral aproximada):

Para um entendimento mais profundo, consulte o código (obviamente) ou fale comigo no discord ou no twitter.

Captura de tela

A captura de tela mostra obex iniciando powershell.exe com a lista de bloqueio padrão (apenas amsi.dll). Além disso, você pode ver a lista de módulos do processo iniciado para verificar se amsi.dll não foi carregada.