Не спасет тебя это от рантайм детектов, ты наверное и сам знаешь что такое kernel mode, и что авер оттуда внимательно наблюдает за тобой. Детект по поведению это не только юзермод хуки.
Лучшее решение это заставить авера думать, что его хуки работают как надо, но на самом деле это будет не так.
EDR ничем не отличается от обычного хорошего авера, за исключением того, что каждый пук в системе логгируется и доступен для дальшейшей форензики инциндента. А методы мониторинга вредоносной активности те же самые.
А еще оно любит ребутить тачку когда устанавливаешь вех обработчик
Так что теории это конечно хорошо а вот послушать бы умных людей от практики.Ну кто как не ты у нас лучший теоретик, в каждой теме умудряешься развести теоретическую духоту и раздуть ее до невозможных размеров. А вот практики от тебя реально никто не видел на этом форуме, одна теория.А еще оно любит ребутить тачку когда устанавливаешь вех обработчик
А еще у меня есть сентинель на котором я тестируюсь. И не только. А то что ты принял за духоту было - по жопе тапком, причем ласково так.
Да ты что, не у тебя одного, у меня целый риг виртуалок стоит на каждой из которых и едр и обычные аверы, и я прекрасно понимаю чем отличается авер от едр системы. А про духоту твою уже всему форуму известно, можешь не доказывать что медь это золото.
Ну то так и прикладывай версии где ты тестил обход, это была бы нормальная практика, иначе неясно что твоя метода конкретно обходит. А за весь форум говорить не спеши, не правильно это когда за большой форму говорит маленькая жопка. Че то ты нервный какой то, агрессивный. У тебя все ок?
Начнем с того, что метода это не моя, и не я ее придумал. Но это все гуглится, при наличии мозгов.
Я знаю во что это перерастет, давно понял что с тобой только так, держи наперед:
Давай напиши еще сообщение, ты же ведь не можешь это так оставить, мастер хочет обладать правом последнего "тяф" в диалоге, как же так, его пнули, а он промолчит, неет, такого нельзя допустить. Надо что-то написать. Что нибудь, лишь бы последним тяфкнуть. Теперь понятно откуда почти 2к сообщений. Тяф тут, тяф там. А если ответили, снова тяф.
Спасибо хотя бы за это....
бред. кортекс и сентинель малварь в рантайме банят даже если юзермодные процессы все кикнуты.
может они у тебя и стоят - только сранно что они стоят а отличий не видишь. зачем они у тебя стоят?
методы те же, но сравнивать реализацию которую продают за 100уе с реализацией за 100к+ - и называть одной и той же - это как минимум странно
Сейчас он и тебя облает.
Ты про ELAM драйвер?Он и у домашних стоит
Ну он и написал что отличий глобально нет, то что корпоративный продукт с облаком, ML и прочим будет детектить лучше никто не спорит
Го, распиши в чем технические отличия edr от AV?
Да ты можешь сразу перед вызовом хука взвести TF и трассировать сколько душе угодно без пейджгардов (даже если хука там не стоит), это тоже баян. Вопрос только в целесообразности этого действия в случае с конкретным авером.
Если бы ты внимательнее читал то что я прислал, в том числе и ссылки, ты бы увидел там описание действий с TF флагом. Ставим хард-бряк на сискол, а дальше трассируем его вплоть до инструкции syscall, и перед самим вызовом подменяем аргументы. Спокойно проходя через весь хук и останавливаясь, там где нам надо. Если хука нет, это никак не виляет на работоспособность алгоритма. При наичии хука трасса пройдет через весь хук, а при его отсутствии только через пролог до инструкции syscall.
Если ты про визоры индюка, то там вообще неизвестно работали они или нет конкретно у него, там было больше болтовни, чем дела, одни интрижки. Но то, что он описывал реализовать можно, и через TF и через PAGE_GUARD на весь код, я проверял это на проекте пошаговой расшифровки кода в процессе исполнения, вполне рабочий метод, правда медленно. Он это называл софт анклавами, но это слишком громкое название для такой примитивной вещи. Ты вроде реализовывал подобное, только не для шифрования отдельных ассемблерных инструкций кода, а целиком шифровал и расшифровывал функции.
Да, там вся секция кода для простоты заливалась int3 и по одной инструкции расшифровывалось, это можно было бы делать и через TF, но с секцией кода целиком состоящей из int3 (кроме одной инструкции) мне показалось забавнее.
