EDRChoker

EDRChoker использует Quality of Service (QoS) на основе политик, чтобы устанавливать жёсткие ограничения пропускной способности (троттлинг) для агентов Endpoint Detection and Response (EDR), из-за чего они всегда выходят по тайм-ауту — фактически блокируя их.

Правила вступают в силу немедленно и сохраняются после перезагрузки Windows на целевой системе.

EDRChoker использует драйвер pacer.sys операционной системы Windows.

Синтаксис командной строки

EDRChoker.exe <ListFile>

Для создания политики QoS для всех имён процессов из ListFile — по одному процессу в каждой строке

EDRChoker.exe

Для удаления всех установленных политик QoS

Ссылки

EDRChoker: Choking The Telemetry Stream to Bypass Defenses

Успешно протестировано с некоторыми EDR/антивирусами

• Elastic Defend
• Microsoft Defender for Endpoint (MDE)
• Tanium Threat Response Agent (EDR)
• Trendmicro Deep Security Agent
• Hurukai (HarfangLab EDR)
• Cortex XDR
• ...
• Пожалуйста, свяжитесь со мной, если вы успешно протестировали его против любого другого EDR.

Демонстрационное видео

YouTube EDRChoker: https://youtu.be/hj05mT-45bo

🐦 Нравится моя работа? Поддержите путешествие, подписавшись на меня в X

Автор:

Two Seven One Three