新型ntdll钩子绕过技术

显示全部楼层 · 发表于 3 天前

本帖最后由 00006666 于 2026-1-10 15:19 编辑

新型ntdll钩子绕过技术，某些依赖r3钩子的杀软更加难以检测威胁了 (

https://mp.weixin.qq.com/s/q2vJRohCcZo9yMDhonKEhA

显示全部楼层 · 发表于 3 天前

本帖最后由 vsantidefender 于 2026-1-10 17:05 编辑

目前WD及BD均无法识别?

显示全部楼层 · 发表于 3 天前

vsantidefender 发表于 2026-1-10 17:03
目前WD及BD均无法识别?

BD个人版目前难以检测这种行为，企业版除外。

显示全部楼层 · 发表于 3 天前

本帖最后由 popu111 于 2026-1-10 19:05 编辑

单看文章的话，好像没太多新意
看了看项目源码，确实不多

这个实现本身没有解决他提到的原始版本重载 ntdll 项目的问题：
纯依赖 VirtualProtect ntdll 段，那我都不用到 R0，hook 一下你不就炸了吗，正常人谁会改 ntdll 的内存权限往里面写东西啊（除了反作弊）
可以结合更常用的提取 syscall 绕过方法解决，但是他又踩了一脚常见提取 syscall 方案说他们不稳定（这倒没错）也不隐蔽，那我没招了

--- 更新 ---
刚注意到这篇公众号文章标题，释然了，和解了（
“精准打击 EDR 钩子：Suspended Process 的选择性 syscall 救赎”

显示全部楼层 · 发表于 3 天前

本帖最后由隔山打空气于 2026-1-10 20:06 编辑

要不看看Moonwalk++吧这年头R3钩子已经被打的够惨了换换口味吧现在这么多玩内核ETW+栈回溯的这类东西不是更有优势吗（
虽然从某种意义上讲也算是小黑打架用的低端技巧（

显示全部楼层 · 发表于 3 天前

隔山打空气发表于 2026-1-10 20:00
要不看看Moonwalk++吧这年头R3钩子已经被打的够惨了换换口味吧现在这么多玩内核ETW+栈回溯的这类东西不 ...

说的就是某个B家的杀软，2026年了ETW还没下放个人版

显示全部楼层 · 发表于 3 天前

本帖最后由 00006666 于 2026-1-10 21:20 编辑

popu111 发表于 2026-1-10 19:00
单看文章的话，好像没太多新意
看了看项目源码，确实不多

有点作用，作用不大就是了。

显示全部楼层 · 发表于前天 07:27

00006666 发表于 2026-1-10 20:37
说的就是某个B家的杀软，2026年了ETW还没下放个人版

这下可好玩了 B端成了新技术试验田 B端的测试通道/快速环才是小白鼠 C端反而吃的都是B端的剩饭还不一定有（

显示全部楼层 · 发表于前天 10:33

隔山打空气发表于 2026-1-11 07:27
这下可好玩了 B端成了新技术试验田 B端的测试通道/快速环才是小白鼠 C端反而吃的都是B端的剩饭还不一定 ...

BD这做法确实是有趣了，居然敢在B端直接上新技术，哈哈

显示全部楼层 · 发表于前天 14:14

驭龙发表于 2026-1-11 10:33
BD这做法确实是有趣了，居然敢在B端直接上新技术，哈哈

不但敢上而且大量独占只是有些默认不启用很多人觉得B端本身就要求稳 C端可以做的很激进结果BD个人版啥也没有 BD企业版除了微不可察地调了一点点引擎之外反而算得上是那个激进的什么内核API监控（这玩意不清楚是不是纯ETW，AV-C很不负责任地给内核钩子那一列打了勾）Hook IRP防BYOVD杀进程什么的个人版连个影都没看见很久以前加的那个HD机学也是会莫名其妙制造诡异的误报检测率也不高

[分享] 新型ntdll钩子绕过技术

评分

评分