RealBlindingEDR

RealBlindingEDR 中文介绍 注意: 从 v1.5 版开始,只会发布 exe 文件,源代码将不再更新(除了修复 bug)。如果您有任何需求或问题,请联系: bXl6LnhjZ0BnbWFpbC5jb20= 利用带签名驱动的任意地址读/写实现: 完全致盲或杀死或永久关闭 AV/EDR。如果您想了解实现原理,可以参考分析文章: AV/EDR 完全致盲 - 清除6大内核回调实现(中文) 支持致盲/永久关闭: 360 安全卫士、360 企业版、天清 V10、Tencent 计算机管理器、Tinder/Tinder 企业版、卡巴斯基端点安全、亚信 EDR、Windows Defender、安天之家。目前已在 64 位 Windows 7/10/11 和 Windows Server 2008R2/2012R2/2016/2019/2022 上进行了测试。如果您在某个版本中发现问题,可以通过问题报告来反馈,我会进行调整。 介绍 本项目实现了以下内核回调的清除: 1. 删除由 CmRegisterCallback(Ex) 注册的回调 2. 删除由 MiniFilter 驱动程序注册的回调 3. 删除由 ObRegisterCallbacks() 注册的回调 4. 删除由 PsSetCreateProcessNotifyRoutine(Ex) 注册的回调 5. 删除由 PsSetCreateThreadNotifyRoutine(Ex) 注册的回调 6. 删除由 PsSetLoadImageNotifyRoutine(Ex) 注册的回调 删除内核回调后,最终可以实现以下 3 个效果: 1. 致盲 AV/EDR 在保持 AV/EDR 进程正常运行的同时,使其无法监控任何进程/线程活动、任何文件加载、注册表删除、高权限句柄获取等许多敏感行为。(不直接杀死是为了确保 EDR 保持与主控制器的通信,避免因断开连接而被发现) 2. 永久关闭或禁用 AV/EDR 由于注册表和 MiniFilter 内核通知回调被删除,可以通过修改注册表或直接删除 AV/EDR 文件来永久关闭 AV/EDR(即使系统重启也一样)。 3. 杀死 AV/EDR 进程 由于对象句柄通知回调已被删除,现在可以通过…