SharpBlock

SharpBlock EDR의 활성 프로젝션 DLL이 진입점 실행을 차단하는 것을 우회하는 방법입니다. 기능 EDR DLL의 진입점 실행을 차단하여 EDR 후크가 배치되는 것을 방지합니다. 런타임 시 Amsi.dll 코드 패치를 찾는 스캐너가 감지할 수 없는 패치리스 AMSI 우회를 제공합니다. 호스트 프로세스를 디스크, HTTP 또는 명명된 파이프Cobalt Strike에서 로드할 수 있는 임플란트 PE로 대체합니다. 임플란트된 프로세스는 숨겨져서 속이 빈 프로세스를 찾는 탐지를 우회하는 데 도움이 됩니다. 명령줄 인수는...

Patchless AMSI bypass using SharpBlock

Introduction For those that followed my personal blog posts on Creating an EDR and Bypassing It, I developed a new tool called SharpBlock. The tool implements a Windows debugger to prevent EDR’s or any other DLL from loading into a process that SharpBlock launches. One feature that was missing fr...