Awesome EDR Bypass　

🛡️ Awesome EDR Bypass Resources For Ethical Hacking ⚔️

A tecnologia de bypass de EDR não é apenas para atacantes. Muitos malwares agora possuem capacidades de bypass de EDR, conhecimento do qual pentesters e respondedores de incidentes também devem estar cientes. Este repositório não se destina a ser usado para escalar ataques. Use-o para hacking ético.

PoC

• trickster0/TartarusGate: TartarusGate, Contornando EDRs
• am0nsec/HellsGate: Implementação Original em C da Técnica VX Hell's Gate
  • O PDF do artigo tem um bom resumo das técnicas de bypass de EDR.
• Maldev-Academy/HellHall: Realizando Chamadas de Sistema Indiretas e Limpas
  • Uma técnica chamada HellsGate, que especifica um número de chamada de sistema através de um valor na memória, combinada com uma técnica para chamar uma chamada de sistema especificando um endereço no NTDLL onde a instrução syscall é implementada, sem chamar a instrução syscall.
• TheD1rkMtr/UnhookingPatch: Bypass de Hooks de EDR aplicando patch na stub da API NT, e resolvendo SSNs e instruções syscall em tempo de execução
• RedTeamOperations/Journey-to-McAfee
• op7ic/EDR-Testing-Script: Teste a precisão do software de Endpoint Detection and Response (EDR) com um script simples que executa várias cargas úteis ATT&CK/LOLBAS/Invoke-CradleCrafter/Invoke-DOSfuscation
• zer0condition/mhydeath: Abusando do mhyprotect para matar AVs / EDRs / XDRs / Processos Protegidos.
  • Demonstração para forçar a saída do Crowdstrike Falcon e Microsoft Defender
• Mr-Un1k0d3r/RedTeamCCode: Repositório de código C da Red Team
• BYOSI: Bypass de EDR trazendo seu próprio interpretador de scripts
• Polydrop: Ataque BYOSI expandido, aproveita 12 linguagens adicionais.
• senzee1984/EDRPrison: Aproveitar um driver legítimo de callout WFP para impedir que agentes EDR enviem telemetria
• S3cur3Th1sSh1t/Ruy-Lopez: Prova de Conceito (PoC) para uma nova abordagem que impede completamente que DLLs sejam carregadas em um processo recém-criado
  • Este post cobrirá o contexto e a descrição da técnica.

Ferramenta

• tanc7/EXOCET-AV-Evasion: EXOCET - Ferramenta de entrega de payload indetectável e que evade AV
• naksyn/Pyramid: uma ferramenta para ajudar a operar nos pontos cegos dos EDRs
• Yaxser/Backstab: Uma ferramenta para matar processos protegidos por antimalware
• klezVirus/inceptor: Framework de Evasão AV/EDR Orientado por Templates
• georgesotiriadis/Chimera: Ferramenta Automatizada de DLL Sideloading com Capacidades de Evasão de EDR
• netero1010/EDRSilencer: Uma ferramenta que usa o Windows Filtering Platform (WFP) para bloquear agentes de Endpoint Detection and Response (EDR) de reportar eventos de segurança ao servidor.
• wavestone-cdt/EDRSandblast
• myzxcg/RealBlindingEDR: Remove AV/EDR Kernel ObRegisterCallbacks、CmRegisterCallback、MiniFilter Callback、PsSetCreateProcessNotifyRoutine Callback、PsSetCreateThreadNotifyRoutine Callback、PsSetLoadImageNotifyRoutine Callback...
• jthuraisamy/SysWhispers2: Gerador direto de chamadas de sistema para bypass de hooks de API em espaço de usuário
• klezVirus/SysWhispers3: Gera arquivos header/ASM que implantes podem usar para fazer chamadas diretas de sistema
• d1rkmtrr/dark-kill: Um código em modo de usuário e seu rootkit que matará processos EDR permanentemente, aproveitando o poder do registro de callback de kernel de bloqueio de criação de processo e ZwTerminateProcess.
• thomasxm/BOAZ_beta: Framework de Evasão AV/EDR em Múltiplas Camadas

Workshop

Mais um workshop de desenvolvimento de malware para pentesters do que um workshop para bypass de EDR.

• chvancooten/maldev-for-dummies: Um workshop sobre Desenvolvimento de Malware
• BC-SECURITY/Beginners-Guide-to-Obfuscation
• chr0n1k/AH2021Workshop: Workshop de desenvolvimento de malware para red teaming
• WesleyWong420/RedTeamOps-Havoc-101: Materiais para o workshop "Red Team Ops: Havoc 101"

Apresentação

• Lifting the veil, a look at MDE under the hood - FIRST CONFERENCE 2022
• Dirty Vanity: A New Approach to Code Injection & EDR Bypass - Black Hat Europe 2022
• talks/Diego Capriotti - DEFCON30 Adversary Village - Python vs Modern Defenses.pdf
• Develop Your Own Rat
• EDR Evasion Primer for Red Teamers - Karsten Nohl & Jorge Gimenez - Hack in the Box 2022 Singapore
• EDR Reloaded: Erase Data Remotely - Black Hat Asia 2024 | Briefings Schedule
• EvilEDR: Repurposing EDR as an Offensive Tool - USENIX Security 2025
  • Demonstra como sistemas EDR podem ser empregados para uso ofensivo, executando comandos arbitrários, exfiltrando dados e prejudicando defesas. O repositório de artefatos está hospedado na plataforma Zenodo e é acessível publicamente através do seguinte URL permanente:https://doi.org/10.5281/zenodo.15116409
• Hiding Payloads in Plain .text, bypass EDRs which use Shannon entropy for detection - x33fcon 2024
  • repositório de código para esta Apresentação
  • alguns blogs relacionados a este tópico:
    • https://redsiege.com/blog/2023/04/evading-crowdstrike-falcon-using-entropy/
    • https://redops.at/en/blog/meterpreter-vs-modern-edrs-in-2023
    • https://practicalsecurityanalytics.com/file-entropy/