SharpBlock

SharpBlock 一种通过阻止入口点执行来绕过EDR主动投影DLL的方法。 功能特性 阻止EDR DLL入口点执行，从而防止放置EDR钩子。 无补丁的AMSI绕过，运行时的补丁扫描器无法检测到Amsi.dll的修改。 主机进程可被替换为从磁盘、HTTP或命名管道加载的植入PE文件（Cobalt Strike） 植入的进程被隐藏，有助于规避扫描空心化进程的检测。 命令行参数在进程创建后使用隐蔽的EDR检测方法进行伪造和植入。 无补丁的ETW绕过。 当调用者位于被阻止DLL的地址空间范围内时，阻止NtProtectVirtualMemory的调用。 SharpBlock by...

Patchless AMSI bypass using SharpBlock

Introduction For those that followed my personal blog posts on Creating an EDR and Bypassing It, I developed a new tool called SharpBlock. The tool implements a Windows debugger to prevent EDR’s or any other DLL from loading into a process that SharpBlock launches. One feature that was missing fr...