iamagarre/badexclusionsnwboBadExclusionsNWBO — это эволюция BadExclusions для выявления пользовательских или недокументированных исключений папок в AV/EDR
BadExclusionsNWBO — это эволюция BadExclusions для выявления пользовательских или недокументированных исключений папок в антивирусах/EDR.
BadExclusionsNWBO копирует и запускает Hook_Checker.exe во всех папках и подпапках указанного пути. Файл Hook_Checker.exe должен находиться в той же папке, что и BadExclusionsNWBO.exe.
Hook_Checker.exe возвращает количество хуков EDR. Если количество хуков равно 7 или меньше, значит, папка имеет исключение, в противном случае папка не исключена.
С момента выхода BadExclusions я думал о том, как достичь тех же результатов, не создавая столько шума. Решение пришло из другого инструмента: https://github.com/asaurusrex/Probatorum-EDR-Userland-Hook-Checker.
Если вы скачаете Probatorum-EDR-Userland-Hook-Checker и запустите его в обычной папке, а затем в папке с определенным типом исключения, вы заметите огромную разницу. Вся информация находится в репозитории Probatorum.
Каждый поставщик применяет исключения по-своему. Чтобы получить список исключений папок, должен быть создан определенный тип исключения. Не все типы исключений и не все поставщики снимают хуки при исключении папки.
Пользователю, запускающему BadExclusionsNWBO, необходимы права на запись в исключенную папку, чтобы записать файл Hook_Checker и получить результаты.
https://github.com/iamagarre/BadExclusionsNWBO/assets/89855208/46982975-f4a5-4894-b78d-8d6ed9b1c8c4
