0xDexter

حوار انك ترفع بيلود على فايروستوتال ويطلع صفر كشف وتفتكر انك كده خلاص عديت ال EDR مبيفتشش ملفات على الديسك، هو قاعد مستنيك جوه ال RAM ويبص على سلوك الكود بتاعك ثانيه بثانيه ​لو انت كل وظيفتك بتدخل تجيب تول جاهزه او تعمل كوبي بيست لكود بيحقن شيل كود ب VirtualAlloc وتديله صلاحيات RWX من غير ما تفهم اللوجيك فا اه ال EDR هيجيبك من قفاك وبسرعه كمان، لانه ببساطه باصص على ال APIs دي وحاطط عليها Hooks اول ما بتطلب مساحه، بيوقف العملية ويبص على ال Call Stack يشوف الخيط ده جاي منين ولو لمح اي حركه شمال هيوقف العمليه فورا ​لكن لو انت فاهم Windows Internals وعارف الميموري دي شغاله ازاي من تحت وبتعرف تبني البيلود بتاعك من الصفر فل EDR مش هيهوب ناحيتك التشفير الخارجي ده اسهل واخر مرحله والمرحله دي خلاص مابقتش تأكل عيش لوحدها لان السيستم شغال بال Behavior مش بال الهاش ​الناس اللي مشغله دماغها دلوقتي شغالة Runtime Evasion.. يعني بيستخدم تكنيكات تدوخ السيستم وهو باصص عليك، زي ال Sleep Obfuscation عشان البيلود يشفر نفسه جوه الذاكره طول ما هو في حالة ثبات ومستني اوامر او بيعمل Call Stack Spoofing عشان يزور مسار العملية ويبان كانه برنامج نضيف وتبع الويندوز زي explorer.exe ​ شغل الكوبي بيست والادوات الجاهزةه قعد ناس كتير في البيت، واللي مش هيفهم السيستم ده اتكتب ازاي سطر سطر وهيفضل شغال بدماغ قديمه هيحصلهم. ​#0xDexter #EDR_Evasion #WindowsInternals #RedTeaming #MalwareDev