dis0rder0x00/obexObex – блокировка нежелательных DLL в пользовательском режиме
Obex — это PoC-инструмент/техника, которую можно использовать для предотвращения загрузки нежелательных модулей (например, EDR или библиотек мониторинга) во вновь запущенный процесс во время инициализации процесса или во время выполнения.
LoadLibrary*).obex.exe "<command with args>" [dll1.dll,dll2.dll,...]
amsi.dll).Помимо разбора аргументов командной строки, PoC выполняет следующее (в общих чертах):
Для более глубокого понимания изучите код (очевидно) или свяжитесь со мной в Discord или twitter.
На скриншоте показано, как obex запускает powershell.exe со списком блокировки по умолчанию (только amsi.dll).
Кроме того, вы можете увидеть список модулей запущенного процесса, чтобы убедиться, что amsi.dll не был загружен.
