EDRPrison

联合作者：@oops4git(https://github.com/oops4git)

EDRPrison 利用合法的 WFP 标注驱动程序 WinDivert 来有效静默 EDR 系统。该项目借鉴了 Shutter、FireBlock 和 EDRSilencer 等工具的思路，专注于基于网络的规避技术。与之前的工具不同，EDRPrison 安装并加载一个外部合法的 WFP 标注驱动程序，而不是仅依赖内置的 WFP。此外，它通过动态添加运行时过滤器来阻止 EDR 进程的出站流量，而无需直接与 EDR 进程或其可执行文件交互。

总之，EDRPrison 具有以下关键特性和能力：

合法 WFP 标注驱动程序：利用合法的 WFP 标注驱动程序来增强能力，同时保持良性特征。
EDR 进程检测：根据预定义的进程名称搜索正在运行的 EDR 进程。
数据包识别：识别源自 EDR 进程的数据包。
动态添加过滤器：根据数据包的源进程动态添加 WFP 过滤器。
非侵入式方法：避免与 EDR 进程及其可执行文件直接交互，确保隐蔽性并降低被检测的风险。

组件

成功运行 EDRPrison 需要提升的权限。EDRPrison 由以下三个组件组成：

EDRPrison：这是主程序及其依赖项。其首次执行时会安装 WinDivert 驱动程序。
WinDivert64.sys：这是已签名的 WFP 标注驱动程序。
WinDivert.dll：WinDivert 项目的组件之一。

优势与改进

EDRPrison 在其前身的基础上提供了多项增强和改进，使其成为更强大、更隐蔽的基于网络的 EDR 规避工具：

不同于向 EDR 进程可执行文件添加静态 WFP 过滤器，EDRPrison 根据数据包的源进程动态添加运行时 WFP 过滤器。
避免获取 EDR 进程或 EDR 可执行文件的句柄，从而降低被检测的风险并减少对 EDR 系统的干扰。
通过加载合法的 WFP 标注驱动程序，EDRPrison 扩展了其能力，同时保持良性特征。

已知问题

目前，EDRPrison 使用 C# 编写，需要在磁盘上存在多个文件，这影响了隐蔽性。我计划用 C++ 重新实现，使主程序能够完全在内存中执行，以增强其隐蔽能力。
程序执行与最初阻止某些 EDR 进程的网络连接之间存在延迟。这种延迟可能导致遥测数据在最初几秒内被发送到云服务器。我正在努力解决这个问题，以确保即时拦截和阻止。

测试示例

由于我手头资源有限，到目前为止我已在物理服务器上针对 Elastic Endpoint 和 Microsoft Defender for Endpoint (MDE) 测试了 EDRPrison。

Elastic Endpoint 和 MDE 的相关进程已硬编码在源代码中。测试期间，主程序和 WinDivert 均未被安全系统检测到。

我测试了一些常见的恶意软件样本，例如 Mimikatz。这些样本仍然可能被检测到，因为即使没有互联网连接，EDR 系统仍保留基本的检测能力，例如基于哈希的签名。执行恶意软件后，数据包数量增加，表明其中包含警报数据。

虽然某些检测会在本地发生，但不会出现在 EDR 面板上。在没有互联网连接的情况下，EDR 系统无法利用机器学习和云计算等高级功能来阻止更复杂的恶意软件攻击。

针对更多 EDR 进行测试

修改以下代码片段以硬编码更多 EDR 进程。

        static void initData()
        {
            processDictionary.TryAdd("MsMpEng.exe", 1);
            processDictionary.TryAdd("MsSense.exe", 1);
            processDictionary.TryAdd("SenseIR.exe", 1);
            processDictionary.TryAdd("SenseNdr.exe", 1);
            processDictionary.TryAdd("SenseCncProxy.exe", 1);
            processDictionary.TryAdd("SenseSampleUploader.exe", 1);
            processDictionary.TryAdd("elastic-endpoint.exe", 1);
            processDictionary.TryAdd("elastic-agent.exe", 1);
        }