edr-bypass-re

⚠️ USO AUTORIZADO APENAS Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Portão de confirmação obrigatório Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato do alvo, IP, conta ou recurso.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça somente leitura e forneça apenas orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

Quando Usar

• Estudando superfícies de telemetria de EDR em um laboratório de red-team autorizado.
• Avaliando a cobertura de detecção contra classes conhecidas de técnicas de bypass.

适用范围

红队 / 对抗模拟在已获授权的目标主机投递 implant 并躲避现代 EDR 时使用本 skill。

1. Red Team / Purple Team / Exercícios de Confronto — O cliente deseja avaliar a capacidade de detecção real do SOC e do EDR.
2. Desenvolvimento de Implant / Framework C2 Próprio — Desenvolver cargas úteis para testar produtos próprios, necessitando contornar EDRs próprios ou de terceiros.
3. Avaliação de Produtos EDR — Avaliar objetivamente a cobertura de detecção de um determinado EDR, com os limites de conformidade já confirmados.
4. CTF / Ataque e Defesa no Windows — Necessidade de execução estável em hosts endurecidos durante competições.

Cenários Inadequados:

• Fabricantes de antivírus realizando engenharia reversa completa de seus próprios produtos para relatórios de avaliação comercial para clientes (procure cooperação formal com o fabricante).
• Confronto de evasão para alvos não autorizados (ilegal).
• Evasão de vírus e trojans comuns (esta habilidade foca em OPSEC de Red Team, não ensina como escrever código malicioso).

Divisão de Tarefas com Outras Habilidades

attack-chain foca na cadeia de kill completa, esta habilidade foca apenas nos mecanismos internos e métodos de contorno direcionados do EDR como o único adversário.

Princípios Fundamentais

EDR 的四个主要监控面               红队的对策
─────────────────────              ─────────────────────
用户态 ntdll hook       ◄──►   unhook (Peruns Fart / fresh ntdll)
                                  间接 syscall / Hell's Gate
                                  hardware breakpoint Blindside

kernel callback         ◄──►   call stack spoof
(Ps/Cm/Ob 系列)                   走合法触发链（不直接绕，配合上游隐身）

ETW telemetry           ◄──►   EtwEventWrite patch
(Microsoft-Windows-Threat-          NtTraceControl 关 provider
 Intelligence 等)                  AmsiContext 同步处理

AMSI 扫描               ◄──►   AmsiScanBuffer patch (mov eax,0x80070057; ret)
(amsi.dll)                       hardware breakpoint 旁路
                                  reflective 加载副本 amsi.dll

Conceitos-chave:

• EDR não é uma caixa preta — Hooks / callbacks / providers cruciais podem ser descobertos com IDA + Windbg.
• Técnicas de contorno devem ser usadas em combinação — Um simples "unhook" não resolve alertas de ETW, um patch de AMSI isolado não resolve hooks de syscall.
• A ordem é importante — Primeiro patch de ETW → depois patch de AMSI → depois unhook; se a ordem estiver errada, o EDR receberá o alerta de unhook primeiro.
• EDRs modernos consideram ETW + callbacks de kernel como o campo de batalha principal, um simples unhook em user-mode já não é suficiente.

Fluxo de Trabalho

Passo 1: Identificar o EDR do Host Alvo

# 列出常见 EDR / AV 驱动
Get-Service | Where-Object {$_.Name -match 'CSAgent|SentinelAgent|elasticendpoint|esets|ekrn|MsMpEng|wdsvc|cyserver|sysmon|aswbidsagent'}

# 列出加载的 minifilter
fltmc filters

# 列出已注册的内核 callback（需 windbg + 内核调试 / 或用 PChunter / DRVHV）
# !object \Callback
# !pnpcallback / Process / Thread / Image

A tabela de impressões digitais de EDR pode ser encontrada no topo de references/hook-survey.md.

Passo 2: Extrair a Tabela de Hooks do DLL do EDR

1. Anexe a um processo que tenha o componente user-mode do EDR injetado (qualquer processo com o EDR implantado).
2. No Windbg, despeje a seção .text do ntdll.dll atual.
3. Compare com o C:\Windows\System32\ntdll.dll limpo no disco.
4. As diferenças são os pontos de hook.

Ou use diretamente pe-sieve:

pe-sieve64.exe /pid 1234 /shellc 3 /modules 3 /dir hooks_dump

Para métodos detalhados, consulte references/hook-survey.md.

Passo 3: Selecionar a Combinação de Técnicas de Contorno

Passo 4: Implementar no Implant

O esqueleto do código pode ser encontrado em references/unhook-techniques.md e references/telemetry-blinding.md.

Passo 5: Verificar em Sandbox Local

# 在隔离环境部署目标 EDR 试用版（Defender 默认即可起步）
# 启用 Sysmon + olaf-config
sysmon64.exe -i sysmonconfig.xml

# 跑 implant，看是否触发以下告警源：
#   - Defender AMSI
#   - ETW-TI
#   - Sysmon Event ID 1/7/8/10
#   - EDR 控制台

Passo 6: Implantação

• Use diretórios de software legítimos para o caminho de pouso do arquivo.
• Spoof de PPID para explorer.exe.
• Combine com a seção de acesso inicial em attack-chain.

Cenários Típicos

Cenário 1: Implantar um Beacon semelhante ao Cobalt Strike para contornar Defender + Sysmon

Alvo: Windows 11 Enterprise + Defender (com detecção em nuvem ativada) + Sysmon (configuração olaf)
Requisito: O beacon deve conseguir callback após o pouso sem disparar nenhum alerta.

Combinação de técnicas:
  1. Armazenar o shellcode criptografado, descriptografar em tempo de execução.

…