杀软和EDR常用的R3钩子(ntdll hook)的原理介绍

显示全部楼层 · 发表于 2025-8-6 01:30:37

神龟Turmi 发表于 2025-7-29 16:13
更怕游戏反作弊（
我都在想会不会有什么黑产投递Battleye来致盲EDR

国内早就这么干了，360虚拟化被wegame腐乳

显示全部楼层 · 发表于 2025-8-6 13:48:18

tdsskiller 发表于 2025-8-6 01:30
国内早就这么干了，360虚拟化被wegame腐乳

ACE（腾讯）和NEAC（网易）至少趋势的umhook还是能挂的上去的
目前只有Battleye明确给拦了还有EA的javelin不知道是故意的还是无意的会给EDR事件搞断链
其他反作弊都可以正常用EDR看到行为

显示全部楼层 · 发表于 2025-8-6 17:00:48

神龟Turmi 发表于 2025-8-6 13:48
ACE（腾讯）和NEAC（网易）至少趋势的umhook还是能挂的上去的
目前只有Battleye明确给拦了还有EA的jave ...

应该还是大手子的锅，把所有常用杀软监控驱动或者hook用来作弊，uc上就有人把卡巴全部的钩子回调等等做了统计

显示全部楼层 · 发表于 2025-8-6 18:21:15

神龟Turmi 发表于 2025-7-29 16:13
更怕游戏反作弊（
我都在想会不会有什么黑产投递Battleye来致盲EDR

趋势这么拉垮吗？我这边看HMPA和冰盾都能挂上啊

显示全部楼层 · 发表于 2025-8-6 19:15:31

骚猪发表于 2025-8-6 18:21
趋势这么拉垮吗？我这边看HMPA和冰盾都能挂上啊

趋势的主防没被拦啊拦的是EDR的UmSnsr（User Mode Sensor）
HMPA和冰盾都不是EDR 没有可比性吧

显示全部楼层 · 发表于 2025-8-6 22:23:47

神龟Turmi 发表于 2025-8-6 19:15
趋势的主防没被拦啊拦的是EDR的UmSnsr（User Mode Sensor）
HMPA和冰盾都不是EDR 没有可比性吧

为啥要单独拦截EDR//

显示全部楼层 · 发表于 2025-8-6 22:30:42

骚猪发表于 2025-8-6 22:23
为啥要单独拦截EDR//

估计是不想让用户看到反作弊干了什么吧非常精准的只干EDR不干主防明明都是一样的数字签名

显示全部楼层 · 发表于 2025-8-7 10:22:24

神龟Turmi 发表于 2025-8-6 19:15
趋势的主防没被拦啊拦的是EDR的UmSnsr（User Mode Sensor）
HMPA和冰盾都不是EDR 没有可比性吧

tmmon.dll和TmUmEvt.dll应该也是给主防提供数据的三环钩

但冰盾都加白了趋势能不加白也是神人了谁知道他们那怎么搞的

显示全部楼层 · 发表于 2025-8-9 08:18:16

所以说。。现在的端到端其实还是又被绕过的可能的

显示全部楼层 · 发表于 2025-8-15 14:09:11

R3 inline hook在国内环境很容易出兼容性问题，edr agent运行的环境非常恶劣的，你永远不知道客户的机器上有什么东西

[讨论] 杀软和EDR常用的R3钩子(ntdll hook)的原理介绍