[AV/EDR BYPASS] Cascade process injection

[secidiot]

Из статьи: https://www.outflank.nl/blog/2024/1...ndows-process-creation-to-stealthy-injection/
Изменена "приостановка" процесса из CreateProcess функции на Nt-api и убрано выделение напрямую RWX памяти. Для большего обхода ав
Код:

Местный пасс

Exploit.IN Send

Encrypt and send files with a link that automatically expires to ensure your important documents don’t stay online forever.

send.exploit.in

 

[Stupor]

EDR давно используют нотификаторы (колбэки) в ядре + ELAM (Early Launch Anti-Malware) вся возня в юзермоде - не актуальна.

 

[xChimera]

EDR давно используют нотификаторы (колбэки) в ядре + ELAM (Early Launch Anti-Malware) вся возня в юзермоде - не актуальна.

Но тем не менее, обойти их можно, в том числе при помощи таких базовых трюков