PhantomFS

PhantomFS ProjFS プロバイダー。ファイルの内容が、それを読み取るプロセスに依存するように投影します。ペイロードは AES-256-CBC で暗号化されてディスクに保存され、実行時にのみメモリ内で復号化されます。許可されたプロセスが読み取ろうとするとペイロードがディスクに書き込まれるため、これは EDR をバイパスするものではありません。それ以外のプロセスはアクセス拒否されます。これは一部のアナリストを怒らせるかもしれません。彼らのツールはそれを読み取れないか、単にデコイをロードするだけだからです。しかし、これは reparse point を使用した ProjFS...