AV/EDR 实验室环境搭建

最初取自 Maldev Academy Discord，并添加了更多资源。

Notion 笔记：https://an0nud4y.notion.site/AV-EDR-Lab-Env-Setup-130bc870022d8071935cc682d3eb34b9?pvs=4

可用于模拟付费 EDR 所具备的某些功能的示例：
- SACL - sysmon
- HOOKS（钩子）
  - bitdefender free：https://otterhacker.github.io/Malware/Function hooking.html
  - HookDetector（检测所有已挂钩的 API）：https://github.com/matterpreter/OffensiveCSharp/tree/master/HookDetector
  - TelemetrySourcerer（枚举并禁用 AV/EDR 使用的常见遥测源，包括 ETW、用户模式钩子、内核回调）：https://github.com/jthuraisamy/TelemetrySourcerer
- 从用户模式检测手动系统调用
  - https://github.com/jackullrich/syscall-detect
  - 挂钩当前进程以识别 Windows 上的手动系统调用执行：https://github.com/paranoidninja/Process-Instrumentation-Syscall-Hook
  - Hunt-Weird-Syscalls：https://github.com/thefLink/Hunt-Weird-Syscalls
- PROCESS/PESCAN
  - Yapscan - 尽可能多地收集 yara 规则
  - DetectItEasy(DIE)： https://github.com/horsicq/Detect-It-Easy
- AMSI Provider
  - AMSI Provider：https://github.com/jborean93/AmsiProvider
- ETW-TI/ETW 提供程序/使用者 -
  - silketw：https://otterhacker.github.io/Malware/ETW.html
  - ETWInspector：https://github.com/jsecurity101/ETWInspector
  - 列出进程的 ETW 提供程序：https://github.com/whokilleddb/ETWListicle
  - KrabsETW（Microsoft ETW 使用者）：https://github.com/microsoft/krabsetw
  - BlueKrabsETW（用于蓝队，基于微软的 KrabsETW）：https://github.com/threathunters-io/bluekrabsetw
  - SealighterTI（威胁情报 ETW 提供程序）：https://github.com/pathtofile/SealighterTI
  - TiEtwAgent（基于 ETW-TI 检测内存注入）：https://github.com/xuanxuan0/TiEtwAgent
  - PyWinTrace（ETW Python 库）：https://github.com/fireeye/pywintrace
  - EtwExplorer（查看 ETW 提供程序清单）：https://github.com/zodiacon/EtwExplorer
  - TelemetrySourcerer（枚举并禁用 AV/EDR 使用的常见遥测源，包括 ETW、用户模式钩子、内核回调）：https://github.com/jthuraisamy/TelemetrySourcerer
  - MentalTi（ETWTi 解析器）：https://github.com/mannyfred/MentalTi
  - PockETWatcher：https://github.com/olafhartong/PockETWatcher
  - ETW 资源
    - 包含用于学习和理解 EVTX/ETW（Windows 事件跟踪）的资源：https://github.com/nasbench/EVTX-ETW-Resources
- KERNEL CALLBACKS（内核回调）-
  - Elastic
  - Sysmon
  - TelemetrySourcerer（枚举并禁用 AV/EDR 使用的常见遥测源，包括 ETW、用户模式钩子、内核回调）：https://github.com/jthuraisamy/TelemetrySourcerer
- Capa - 能力扫描
- 跟踪 API 调用 - TinyTracer
  - https://github.com/hasherezade/tiny_tracer
为恶意软件开发收集 Windows 遥测数据
- 收集类似 ETW、ETW-TI、内核回调、钩子、调用堆栈、已加载 DLL、PEB 的遥测数据）：https://github.com/dobin/RedEdr，RedEDR UI（https://github.com/dobin/RedEdrUi）（查看作者的其他项目）
免费试用的 EDR/AV 产品
- Microsoft Defender For Endpoint
  - https://medium.com/@hackenbacker/creating-a-defender-for-endpoint-lab-for-free-695044b75bd6
  - https://learn.microsoft.com/en-us/defender-endpoint/defender-endpoint-trial-user-guide
- Sophos XDR（试用版）
- Elastic EDR
- TrendMicro
- McAfee MVISION
- Avast
- openEDR - Comodo 免费 EDR
- Wazuh：https://github.com/wazuh/wazuh
- Huntress Managed EDR -（15 天免费试用，无需信用卡，由实时 SOC 分析师提供 3 份高/严重级事件报告）：https://www.huntress.com/edr-free-trial
开源 EDR
- RedEDR：https://github.com/dobin/RedEdr
- SimpleEDR - 通过手动 DLL 挂钩寻找检测机会：https://github.com/Helixo32/SimpleEDR
- CrimsonEDR：https://github.com/Helixo32/CrimsonEDR
- OpenEDR：https://github.com/ComodoSecurity/openedr/
- InjDrv： https://github.com/wbenny/injdrv
- MyDumbEDR：https://github.com/sensepost/mydumbedr
- BestEDROfTheMarket：https://github.com/Xacone/BestEdrOfTheMarket
- JonMon：https://github.com/jsecurity101/JonMon
- SylantStrike：https://github.com/CCob/SylantStrike
- Whids：https://github.com/0xrawsec/whids
- 编写你自己的 EDR
@dobin 的开源 EDR 对比
映像加载事件扫描器
- Hunt-Weird-ImageLoads：https://github.com/thefLink/Hunt-Weird-ImageLoads
进程内存扫描器
- PE-sieve：https://github.com/hasherezade/pe-sieve
- Moneta：https://github.com/forrest-orr/moneta
- YapScan：https://github.com/fkie-cad/yapscan
- MalMemDetect：https://github.com/waldo-irc/MalMemDetect
- Patriot：https://github.com/joe-desimone/patriot
- Hunt-Sleeping-Beacons：https://github.com/thefLink/Hunt-Sleeping-Beacons
- YaraMemoryScanner：https://github.com/BinaryDefense/YaraMemoryScanner
- Cobalt Strike Beacon 检测专用扫描器
  - BeaconEye：https://github.com/CCob/BeaconEye
  - BeaconHunter：https://github.com/3lp4tr0n/BeaconHunter
- EtwTi-FluctuationMonitor - 执行 VirtualAlloc(RWX) 会相应更改 CFG 位图，之后执行 VirtualAlloc(RW) 时 CFG 保持不变： https://github.com/jdu2600/EtwTi-FluctuationMonitor
  - https://github.com/jdu2600/CFG-FindHiddenShellcode
  - https://github.com/jdu2600/Etw-SyscallMonitor
- TiEtwAgent（基于 ETW-TI 检测内存注入）：https://github.com/xuanxuan0/TiEtwAgent
签名检测绕过
- ThreatCheck：https://github.com/PACHAKUTlQ/ThreatCheck
- AvRed：https://github.com/dobin/avred

恶意软件开发机器搭建

如果在编写恶意软件时担心 Windows 遥测数据，请避免使用 Windows。
Tiny11Builder（用于移除许多不必要的 Windows 组件，包括遥测）（取自此处）：https://github.com/ntdevlabs/tiny11builder

AV/EDR 内部机制/ 遥测/基准测试/工作原理

EDR 内部机制
- Matt Hand - 《Evading EDR》一书
- EDR 如何工作（The Anti-EDR Compedium）：https://blog.deeb.ch/posts/how-edr-works/
EDR 内部机制 / 工作原理相关演讲
EDR 遥测 - 各种 EDR 遥测：https://github.com/tsale/EDR-Telemetry
- https://www.edr-telemetry.com/
- EDR 遥测电子表格：https://docs.google.com/spreadsheets/u/1/d/1ZMFrD6F6tvPtf_8McC-kWrNBBec_6Si3NW6AoWf3Kbg/htmlview
Defender Harvester：https://github.com/olafhartong/DefenderHarvester
EDR 钩子列表：https://github.com/Mr-Un1k0d3r/EDRs
- HookDetector（检测所有已挂钩的 API）：https://github.com/matterpreter/OffensiveCSharp/tree/master/HookDetector
Polonium：来自 Binary-Offensive（@mariuszbit）的 Modern Initial Access and Evasion Tactics 课程的一款工具。https://github.com/sponsors/mgeeky
EDR 钩子遥测
- 取自：https://github.com/helviojunior/hookchain/blob/main/HookChain_en_v1.5.pdf

致谢

感谢 MaldevAcademy Discord 成员提供的初始列表
感谢 @dobin 提供了额外的资源列表和开源 EDR 对比表。
感谢 @fin3ss3g0d 分享了关于 Huntress Managed EDR 试用优惠的信息。

最受欢迎

AV-EDR-Lab-Environment-Setup