Come disabilitare un EDR tramite registro?
Uncategorized
1
Posts
1
Posters
2
Views
-
Come disabilitare un EDR tramite registro? Con il DedicatedDumpFile
Ho lavorato per diversi anni come System Engineer e uno dei compiti che ho svolto è stata la gestione di Citrix PVS. Uno dei problemi con PVS era l’analisi dei file di dump. L’unico modo per generare un file di dump completo era utilizzare l’ opzione DedicatedDumpFile, disponibile come chiave di registro in HKLMSYSTEMCurrentControlSetControlCrashControl.
Un ostacolo significativo quando il file DedicatedDumpFile è abilitato e configurato è la sua eliminazione, poiché è sempre in uso da parte di un processo.
Il crash dump viene creato dal kernel di Windows (ntoskrnl.exe) in collaborazione con il driver Crashdmp.sys. Per garantire che il file sia sempre contiguo, non frammentato e disponibile al momento del crash, il kernel lo mantiene aperto e riservato mentre il sistema è in esecuzione.
Ora, cosa succede se il valore della chiave di registro DedicatedDumpFile non è un file .dmp?
Per impostazione predefinita, Windows non verifica se il valore della chiave punta a un file .dmp. Se inseriamo il percorso di un file .exe (ad esempio, EDR.exe) nella chiave DedicatedDumpFile , Windows aprirà il file all’avvio, causando l’utilizzo del file .exe.
Questo può causare il crash di un processo protetto, come un EDR? Certo che sì.
Ho creato un semplice script PowerShell che aggiunge la chiave DedicatedDumpFile con il valore di un percorso .exe (EDRService.exe).
Powershell per aggiungere la chiave
Come puoi vedere nell’immagine sottostante, la chiave è stata aggiunta correttamente.
Chiave aggiunta nel registro di Windows
Naturalmente è necessario un riavvio perché la chiave venga aggiunta in HKLM .Dopo il riavvio, come accennato in precedenza, il processo EDR non può essere avviato perché il servizio è in uso.
Ora siamo in grado di eseguire le azioni desiderate senza l’interazione dell’EDR.
Il servizio EDR non si avvia
Questa tecnica è stata testata su otto EDR e solo uno di essi l’ha bloccata, non a causa di DedicatedDumpFile, ma perché controlla se una chiave di registro è scritta con il suo nome.L'articolo Come disabilitare un EDR tramite registro? Con il DedicatedDumpFile proviene da il blog della sicurezza informatica.
Gli ultimi otto messaggi ricevuti dalla Federazione
-
Giuli spende trenta milioni nostri per un Caravaggio....meloni urla anche stavolta?
-
I enjoyed and appreciated reading this post.
"I realized almost immediately that GNU/Linux and FreeBSD were so similar they were completely different."
This right here.
My initial impression with #FreeBSD in 2006 was quite similar. Of course, #Linux back then was a much different beast than what it has evolved (mutated?) into today.
Had I not pursued Linux system administration as a career, I *probably* would have stuck with FreeBSD.
We can make all the technical comparisons between the two OSes all day long but what drove my interest and enthusiasm are (1) the documentation and (2) the community.
-
@peacelink ma non sono riuscite ad evitare di sbavare mentre lo dicevano
-
@stefano Don’t bother filing a bug report. They will act stupid. Probably they are stupid about it. They think it is a bug. Actually the author probably wrote a program he knew was not a solution to the problem but which he could do on deadline and which was good enough for his job at HP.
-
@stefano Here is something new for you to be upset about, though, which affects everyone, Linux, BSD, illumos alike. I have been upset about it for over 20 years.
Read ‘man 5 fonts-conf’ or whatever your equivalent is. Read it carefully under ‘FONT MATCHING’. What it says is that a font is not chosen as you wished, but instead RANDOMLY. You are only LUCKY if you get the font you wished.
And if you experiment long enough you will find this is true.
Fontconfig is unfixable and must be scrapped.
-
L'Ucraina ha sviluppato nuovi missili balistici FP-7, analoghi all'ATACMS, ma due volte meno costosi
I test si stanno muovendo verso una nuova fase, i missili saranno testati direttamente in attacchi in Russia
-
E in omaggio la concessione decennale per l'uso di un pezzo di bosco demaniale.
-
@quinta non solo lo fa, ma se ne vanta pure.
