EDRSandblast

EDRSandBlast 是一款用 C 语言编写的工具,它将一个易受攻击的签名驱动程序武器化,以绕过 EDR 检测(通知例程回调、对象回调和 ETW TI 提供程序)和 LSASS 防护。还实现了多种用户态卸载技术,以逃避用户态监控。发布以来,结合了用户态(--usermode)和内核态(--kernelmode)技术,在 EDR 监控下可以泄露 LSASS 内存,而不会被阻止,也不会在产品(云)控制台中生成与"OS Credential Dumping"相关的事件。测试在 3 个不同的 EDR 产品上进行,每个案例都成功。

通过 Kernel Notify Routines 删除 EDR 绕过

这些内核回调函数是由内核定义的,通常是由实现这些回调函数的驱动程序定义的,使用了大量文档化的 API(如 nt!PsSetCreateProcessNotifyRoutine, nt!PsSetCreateThreadNotifyRoutine 等)。这些 API 将驱动程序提供的回调函数添加到内核空间中未文档化的函数数组中:

EDRSandBlast 列举了这些数组中定义的例程，并删除与预定义的 EDR 驱动列表（支持的安全产品驱动程序超过 1000 个）关联的任何回调例程（请参见 EDR 驱动程序和进程检测部分）。这些列举和删除是通过利用一个易受攻击驱动程序提供的任意内核内存读/写原语实现的（请参见 易受攻击驱动程序部分）。上述数组的偏移量是通过多种技术恢复的，请参见 偏移量部分。

通过删除对象回调来绕过 EDR