"edr-bypass" etiketli 2 yazı.
Gelişmiş tehdit aktörleri ve fidye yazılımı grupları tarafından EDR/AV ajanlarını tamamen devre dışı bırakmak amacıyla kullanılan BYOVD (Bring Your Own Vulnerable Driver) tekniğini inceliyoruz. Komut satırı takibinin ötesine geçerek, Windows Service Control Manager (SCM) Event ID 7045 telemetrisi ve iki aşamalı gürültüsüz (low-noise) Wazuh kural mimarisiyle production ortamına hazır bir tespit stratejisi kurguluyoruz.
EDR çözümlerinin kullanıcı katmanındaki (User-land) izleme mekanizmalarını tamamen bypass eden ve doğrudan çekirdek katmanıyla (Kernel-land) konuşan Direct Syscalls ve API Unhooking tekniklerini mercek altına alıyoruz. Bu çalışmada, bellek manipülasyonlarını ve sinsi yükleyicileri (Loaders) yakalamak adına Sysmon Event ID 10 (ProcessAccess) and ETW telemetrisi üzerinden Wazuh üzerinde yüksek doğruluklu (high-fidelity) koruyucu kurallar kurgulayacağız.
