Наткнулся на просторах) хорошая презентация про уклонение от обнаружения

#redteam #pentest #malware #evasion

Классная инструкция, как построить инфраструктуру C2 на Azure

https://0xdarkvortex.dev/c2-infra-on-azure/

#redteam #evasion

В ресерче описана техника инъекции в процессы, которая позволяет обходить некоторые EDR (без создания удалённого потока).

Ресерч: https://www.riskinsight-wavestone.com/en/2023/10/process-injection-using-ntsetinformationprocess/

PoC: https://github.com/OtterHacker/SetProcessInjection

#pentest #redteam #evasion #bypass #maldev

Если кто хочет потренироваться в обходе различных техник детекта, частично применяемых в EDR, то вот хорошее средство)

https://github.com/Xacone/BestEdrOfTheMarket

Defensive Techniques ⚔️​
* Multi-Levels API Hooking
* SSN Hooking/Crushing
* IAT Hooking
* Shellcode Injection Detection
* Reflective Module Loading Detection
* Call Stack Monitoring

In progress:
* Heap Monitoring
* ROP Mitigation
* AMSI Patching Mitigation
* ETW Patching Mitigation

#evasion #edr #git #redteam #blueteam

Рекомендую блог тем, кому интересен малдев, да и просто для понимания работы той или иной техники уклонения. В использовании VEH ничего нового нет, но Daniel Feichter очень подробно разбирает использование сисколов посредством глобального обработчика исключений.

https://redops.at/en/blog/syscalls-via-vectored-exception-handling

#malware #evasion #redteam

#redteam #pentest #evasion #bypass

Аналог GetProcAddress, но написан на ассемблере. Гуд...

https://github.com/WKL-Sec/FuncAddressPro

#redteam #maldev #evasion

@Michaelzhm прислал статейку) Нового ничего нет, но если кто не знал про данную технику из категории Blind EDR, то вам понравится... Достигается путём изменения значения альтитуды минифильтра и перекрытия коллбэков EDR.

https://tierzerosecurity.co.nz/2024/03/27/blind-edr.html

#bypass #evasion #edr #redteam #maldev

Scriptblock Smuggling... Или как прятать скрипт Powershell, чтобы он не мелькал в логах, и обходить AMSI без исправлений в памяти (патчей)

https://bc-security.org/scriptblock-smuggling/

#bypass #redteam #amsi #evasion

Маленький мануал по отключению агентов EDR

https://www.3nailsinfosec.com/post/edrprison-borrow-a-legitimate-driver-to-mute-edr-agent

#evasion #redteam #av

Питонячий скрипт для работы с реестром через WMI StdRegProv

https://github.com/0xthirteen/reg_snake

#evasion #pentest #redteam #lateral

Reads blacklist.txt and blocks dlls from loading with option to unblock subsequently. Patches LdrLoadDll in local/remote process to return dll not found.

https://github.com/cybersectroll/TrollBlacklistDLL

#pentest #redteam #av #evasion