EDRSilencer

Вдохновившись закрытым инструментом FireBlock от MdSec NightHawk, я решил создать собственную версию. Этот инструмент был создан с целью блокировки исходящего трафика запущенных EDR-процессов с помощью API Windows Filtering Platform (WFP).

Этот инструмент предлагает следующие возможности:

• Поиск известных запущенных EDR-процессов и добавление WFP-фильтра для блокировки их исходящего трафика
• Добавление WFP-фильтра для конкретного процесса
• Удаление всех WFP-фильтров, созданных этим инструментом
• Удаление конкретного WFP-фильтра по идентификатору фильтра
• Поддержка запуска в C2 с модулем выполнения PE в памяти (например, BruteRatel's memexec)
• Некоторые средства контроля EDR (например, minifilter) запрещают доступ, когда процесс пытается получить дескриптор файла своих EDR-процессов (например, через CreateFileW). Однако API FwpmGetAppIdFromFileName0, который используется для получения FWP app id целевого EDR-процесса, внутренне вызывает CreateFileW. Чтобы избежать этого, была реализована собственная функция FwpmGetAppIdFromFileName0, которая формирует app id без вызова CreateFileW, предотвращая тем самым непредвиденные сбои при добавлении WFP-фильтра к EDR-процессу

Инструмент в настоящее время поддерживает следующие EDR:

• Microsoft Defender for Endpoint and Microsoft Defender Antivirus
• Elastic EDR
• Trellix EDR
• Qualys EDR
• SentinelOne
• Cylance
• Cybereason
• Carbon Black EDR
• Carbon Black Cloud
• Tanium
• Palo Alto Networks Traps/Cortex XDR
• FortiEDR
• Cisco Secure Endpoint (Formerly Cisco AMP)
• ESET Inspect
• Harfanglab EDR
• TrendMicro Apex One

Поскольку у меня нет доступа ко всем этим EDR для тестирования, пожалуйста, не стесняйтесь поправить меня, если перечисленные процессы (edrProcess в EDRSilencer.c) окажутся недостаточными для блокировки всего трафика оповещений, обнаружений или пересылки событий.

Среда тестирования

Протестировано на Windows 10 и Windows Server 2016

Использование

Usage: EDRSilencer.exe <blockedr/block/unblockall/unblock>
- Add WFP filters to block the IPv4 and IPv6 outbound traffic of all detected EDR processes:
  EDRSilencer.exe blockedr

- Add WFP filters to block the IPv4 and IPv6 outbound traffic of a specific process (full path is required):
  EDRSilencer.exe block "C:\Windows\System32\curl.exe"

- Remove all WFP filters applied by this tool:
  EDRSilencer.exe unblockall

- Remove a specific WFP filter based on filter id:
  EDRSilencer.exe unblock <filter id>

Компиляция

x86_64-w64-mingw32-gcc EDRSilencer.c utils.c -o EDRSilencer.exe -lfwpuclnt

Пример

Обнаружение и блокировка исходящего трафика запущенных EDR-процессов

EDRSilencer.exe blockedr

Благодарности

https://www.mdsec.co.uk/2023/09/nighthawk-0-2-6-three-wise-monkeys/