Потрясающий обход EDR　

🛡️ Потрясающие ресурсы по обходу EDR для этичного хакинга ⚔️

Технология обхода EDR предназначена не только для злоумышленников. Многие вредоносные программы теперь обладают возможностями обхода EDR, о которых должны знать пентестеры и специалисты по реагированию на инциденты. Этот репозиторий не предназначен для эскалации атак. Используйте его для этичного хакинга.

PoC

• trickster0/TartarusGate: TartarusGate, обход EDR
• am0nsec/HellsGate: Оригинальная реализация на C техники Hell's Gate VX
  • В PDF-документе содержится хороший обзор методов обхода EDR.
• Maldev-Academy/HellHall: Выполнение косвенных чистых системных вызовов
  • Техника HellsGate, которая задает номер системного вызова через значение в памяти, в сочетании с техникой вызова системного вызова путем указания адреса в NTDLL, где реализована инструкция syscall, без вызова самой инструкции syscall.
• TheD1rkMtr/UnhookingPatch: Обход перехватчиков EDR путем патчинга заглушки NT API и определения SSN и инструкций syscall во время выполнения
• RedTeamOperations/Journey-to-McAfee
• op7ic/EDR-Testing-Script: Проверка точности программного обеспечения Endpoint Detection and Response (EDR) с помощью простого скрипта, который выполняет различные полезные нагрузки ATT&CK/LOLBAS/Invoke-CradleCrafter/Invoke-DOSfuscation
• zer0condition/mhydeath: Злоупотребление mhyprotect для уничтожения антивирусов / EDR / XDR / защищенных процессов.
  • Демонстрация принудительного завершения Crowdstrike Falcon и Microsoft Defender
• Mr-Un1k0d3r/RedTeamCCode: Репозиторий кода на C для Red Team
• BYOSI: Обход EDR путем использования собственного интерпретатора скриптов
• Polydrop: Расширенная атака BYOSI, использующая 12 дополнительных языков.
• senzee1984/EDRPrison: Использование легитимного драйвера WFP callout для предотвращения отправки телеметрии агентами EDR
• S3cur3Th1sSh1t/Ruy-Lopez: Доказательство концепции (PoC) нового подхода к полному предотвращению загрузки DLL в только что созданный процесс
  • В этом посте будут рассмотрены предпосылки и описание техники.

Инструменты

• tanc7/EXOCET-AV-Evasion: EXOCET — инструмент доставки полезной нагрузки, не обнаруживаемый антивирусами
• naksyn/Pyramid: инструмент для работы в слепых зонах EDR
• Yaxser/Backstab: Инструмент для уничтожения защищенных антивирусом процессов
• klezVirus/inceptor: Фреймворк для обхода AV/EDR на основе шаблонов
• georgesotiriadis/Chimera: Автоматизированный инструмент для DLL Sideloading с возможностями обхода EDR
• netero1010/EDRSilencer: Инструмент, использующий Windows Filtering Platform (WFP) для блокировки отправки отчетов о событиях безопасности на сервер агентами Endpoint Detection and Response (EDR).
• wavestone-cdt/EDRSandblast
• myzxcg/RealBlindingEDR: Удаление колбэков ядра AV/EDR: ObRegisterCallbacks, CmRegisterCallback, MiniFilter Callback, PsSetCreateProcessNotifyRoutine Callback, PsSetCreateThreadNotifyRoutine Callback, PsSetLoadImageNotifyRoutine Callback...
• jthuraisamy/SysWhispers2: Генератор прямых системных вызовов для обхода перехватчиков API пользовательского режима
• klezVirus/SysWhispers3: Генерация файлов заголовков/ASM для выполнения прямых системных вызовов в имплантах
• d1rkmtrr/dark-kill: Код пользовательского режима и его руткит для постоянного уничтожения процессов EDR с использованием регистрации колбэка блокировки создания процессов в ядре и ZwTerminateProcess.
• thomasxm/BOAZ_beta: Многоуровневый фреймворк для обхода AV/EDR

Семинары

Больше похоже на семинар по разработке вредоносного ПО для пентестеров, чем на семинар по обходу EDR.

• chvancooten/maldev-for-dummies: Семинар по разработке вредоносного ПО
• BC-SECURITY/Beginners-Guide-to-Obfuscation
• chr0n1k/AH2021Workshop: Семинар по разработке вредоносного ПО для Red Teaming
• WesleyWong420/RedTeamOps-Havoc-101: Материалы для семинара "Red Team Ops: Havoc 101"

Презентации

• Lifting the veil, a look at MDE under the hood - FIRST CONFERENCE 2022
• Dirty Vanity: A New Approach to Code Injection & EDR Bypass - Black Hat Europe 2022
• talks/Diego Capriotti - DEFCON30 Adversary Village - Python vs Modern Defenses.pdf
• Develop Your Own Rat
• EDR Evasion Primer for Red Teamers - Karsten Nohl & Jorge Gimenez - Hack in the Box 2022 Singapore
• EDR Reloaded: Erase Data Remotely - Black Hat Asia 2024 | Briefings Schedule
• EvilEDR: Repurposing EDR as an Offensive Tool - USENIX Security 2025
  • Демонстрирует, как системы EDR могут быть использованы в наступательных целях: выполнение произвольных команд, эксфильтрация данных и ослабление защиты. Репозиторий артефактов размещен на платформе Zenodo и общедоступен по следующему постоянному URL: https://doi.org/10.5281/zenodo.15116409
• Hiding Payloads in Plain .text, bypass EDRs which use Shannon entropy for detection - x33fcon 2024
  • репозиторий кода для этой презентации
  • несколько блогов по этой теме:
    • https://redsiege.com/blog/2023/04/evading-crowdstrike-falcon-using-entropy/
    • https://redops.at/en/blog/meterpreter-vs-modern-edrs-in-2023
    • https://practicalsecurityanalytics.com/file-entropy/