EDRSandblast

EDRSandBlast EDRSandBlast는 서명된 취약한 드라이버를 무기화하여 EDR 탐지Notify Routine 콜백, Object Callbacks 및 ETW TI 공급자 및 LSASS 보호를 우회하기 위해 C로 작성된 도구입니다. 여러 사용자 모드 언후킹 기술도 구현되어 사용자 모드 모니터링을 회피합니다. 이번 릴리즈 기준으로, 사용자 모드--usermode와 커널 모드--kernelmode 기술의 조합을 사용하여 EDR 감시 하에 LSASS 메모리를 덤프했으며, 제품클라우드 콘솔에서 차단되거나 "OS 자격 증명...

TrickDump

TrickDump TrickDump는 Minidump 파일을 생성하지 않고 lsass 프로세스를 덤프하며, 대신 메모리 영역 덤프가 포함된 3개의 JSON 파일과 1개의 ZIP 파일을 생성합니다. 세 단계로 진행됩니다: Lock : RtlGetVersion을 사용하여 OS 정보를 가져옵니다. Shock : NtOpenProcessToken 및 NtAdjustPrivilegeToken을 사용하여 SeDebugPrivilege 권한을 획득하고, NtGetNextProcess 및 NtQueryInformationProcess로 핸들...