Не используй process hollowing, заезженная тема палится очень сильно, ppid spoof это конечно все хорошо но безсмысленно для edr, наоборот больше всего даст детектов, это аномально для белого софта. Для обхода edr для cobalt strike используй инжект в самого себя только без явного создания потока CreateThread или CreateRemoteThread (их Nt версии), используй sleep-mask из коробки, и альтернативные api для запуска потока шеллкода, так например делает тут здешний небезызвестный англоязычный продаван паблика за оверпрайс)).
У меня реализация с помощью NtMapViewOfSectionEx, NtUnmapViewOfSection и NtQueueApcThread (Процесс тоже создается при помощи NtApi). Используются индирект сюсколы, при помощи HWSyscalls, винапи только два импорта - AddVectoredExceptionHandler и RemoveVectoredExceptionHandler (как раз в HWSyscalls сидят)
Запускал с заменой шеллкода пустыми байтами (Чтоб в статике не сжирало, нет возможности поменять настройки EDR), все отлично работало, детекта в динамике не было, проблемы видел только со статическим детектом
Разумеется)
Настраивал, в связке с RedGuard использолал, работало отлично. Прокси тоже пробовал, работало, а с тулленем cloudlfare как-то непонятно и сложно
Да, похоже стоит попробовать, Cortex в динамике снял)
- снимай хуки сначала с натива в цикле в отдельном потоке и потом юзай.
Да, такое уже реализованно, только не в отдельном потоке (Анхук не только ntdll, а всех dll'ок с KnownDlls)
Зачем снимать хуки? Syswhispers юзай и все.
Это скрипт питона что б в итоге получить .h и .cpp файлы, для работы с системными вызовами уже в твоем проекте, лучше юзать индирект сисколлы, потому что при директ сисколлах в коде будет asm инструкция "syscall" или устаревшая int 2Eh, которая сразу же тригерится в статике многими АВ
pSyscall PROC
mov [rsp +8], rcx ; Save registers.
mov [rsp+16], rdx
mov [rsp+24], r8
mov [rsp+32], r9
sub rsp, 28h
mov ecx, 029943818h
call GetSyscallNumber
add rsp, 28h
mov rcx, [rsp+8]
mov rdx, [rsp+16]
mov r8, [rsp+24]
mov r9, [rsp+32]
mov r10, rcx
syscall
ret
pSyscall ENDPЕсли работать только точечно по тагрету, то пойдет. А вот если уже выходить за рамки точечной работы то лучше используй кастомный xor он не увеличивает энтропию как aes.Работаю в тестовом режиме, прислушался к советам, опять сделал правки
Последние результаты
Посмотреть вложение 67381
Теперь без инжекта в процесс, выполнение в локальном процессе, смена шифрования с AES на UuidFromStringA (Понижение энтропии без головной боли)
Тоже задумывался над этим, да
Думал разбавлять шелл в aes нулевыми байтами (после каждого нного байта вставлять допустим по три штучки 0x00, при запуске просто урезать их), но пока не реализовал
Такое на каждой тачке с едр будет с включеным инетом
Если на кортекте прошло, то это круть, ибо он сейчас возможно самый страшный зверь гав-гав котики его побаиваются
Проходило, да, но сейчас обновление пишу и не делаю билды
