工具介绍
一种通过阻止入口点执行来绕过 EDR 的活动投影 DLL 的方法
SharpBlock
一种通过阻止入口点执行来绕过 EDR 的活动投影 DLL 的方法。
特性
- 阻止 EDR DLL 入口点的执行,从而防止放置 EDR 钩子。 * 无补丁的 AMSI 绕过,在运行时,扫描程序无法检测到 Amsi.dll 代码补丁。 * 替换主进程,使用可从磁盘、HTTP 或命名管道加载的植入 PE。 (Cobalt Strike) * 隐藏植入进程,以帮助避免扫描程序查找空心进程。 * 在创建进程后,伪造命令行参数并进行植入,使用隐蔽的 EDR 检测方法。 * 无补丁的 ETW 绕过。 * 阻止调用者在受阻 DLL 地址空间范围内时调用 NtProtectVirtualMemory。
使用记事本作为主进程，通过 HTTP 启动 mimikatz，阻止 SylantStrike 的 DLL