How to become an author
Search
Write a publication
Pull to refresh

Comments 17

Чтобы загрузить уязвимый драйвер, нужны права администратора. Но если у нас есть права администратора, то мы можем получить доступ к памяти lsass.exe через OpenProcess и ReadProcessMemory

Total votes 5: ↑5 and ↓0+5

Вы сможете сделать дамп процесса lsass, если будут права администратора и в системе не будет установлено средств защиты.

Total votes 2: ↑2 and ↓0+2

Если у нас есть права администратора, мы просто берём и выключаем/удаляем средства защиты.

Total votes 1: ↑1 and ↓0+1
Это слишком заметно.
Total votes 2: ↑1 and ↓10

У Вас с правами адина возникнут трудности с выключением/удалением средств защиты.(Microsoft Defender в расчет не беру)

Total votes 1: ↑1 and ↓0+1
Стандартный Uninstall не поможет?
Total votes 2: ↑2 and ↓0+2

Достаточно часто нужно вводить капчу при использовании стандартных Uninstall. Следовательно нужно иметь графическую оболочку(например RDP). Если она у Вас будет и будут права администратора ,то Вы сможете удалить стандартными Uninstall.

This comment wasn’t rated yet0
Для enterprise-инструментов стандартом является установка/удаление msi-пакетами. Если какой-то антивир это не умеет, он будет очень плохо вписываться в современное управление доменом.
Total votes 2: ↑2 and ↓0+2
В системах с Secure Boot часто используется LSA Protection (https://itm4n.github.io/lsass-runasppl/), который не дает доступ к памяти lsass даже с правами админа. После включения эта опция сохраняется в NVRAM.
Чтобы ее отключить, нужен физический доступ к машине, так как отключение нужно подтвердить до загрузки ОС в EFI-приложении (https://www.microsoft.com/en-us/download/details.aspx?id=40897).
Такая защита обходится только через драйвер.
Total votes 2: ↑2 and ↓0+2

В процессе разработки антивирус не триггерился? Или его отключили?

This comment wasn’t rated yet0
Стриггерит, только если дырявый драйвер у него добавлен в базу вредоносов. А так, с точки зрения системы ничего не происходит — никаких странных API не вызывается, только IOCTL стороннего драйвера, про который AV ничего сказать не может.
Total votes 2: ↑2 and ↓0+2

По идее KDU может и не понадобиться, похожий функционал из коробки есть в подписанном гигабайтовском GIO.sys. Ковырял их тут

Total votes 1: ↑1 and ↓0+1

KDU сам не нужен, у него в проекте есть некоторое количество драйверов, один из которых я извлек.

Total votes 1: ↑1 and ↓0+1

Patch guard возбудится на запись в ядро системы. Как это обходится?

This comment wasn’t rated yet0
Код на уровне ядра может что угодно патчить, в том числе подправить сам PatchGuard, чтобы он ничего не увидел. К тому же, PatchGuard контролирует несколько определённых мест, типа входов в системные ф-ции и обработчики прерываний, а если где-то глубоко в середине запатчить системные ф-ции, он за этим не уследит.

github.com/everdox/InfinityHook
This comment wasn’t rated yet0
Sign up to leave a comment.

Your account

Sections

Information

Services

Support
© 2006–2024, Habr