CrowdStrike поймал мой лоадер за 4 секунды. Не по сигнатуре — по поведению

Три дня на кастомный лоадер: шифрованный шеллкод, indirect syscalls через SysWhispers3, Early Bird APC injection в RuntimeBroker.exe. На стенде — тишина. На продакшене Falcon сработал через четыре секунды. Причина: поведенческий паттерн, а не бинарник.

🔍 Три вектора против EDR в 2026 году:

• Blinding — EDRSilencer через WFP блокирует телеметрию, но список процессов неполный — нужна доработка
• Blocking — BYOVD или Safe Mode Boot. Требует привилегий ядра, но ransomware-группы уже используют
• Hiding — LOLBins и DLL Side-Loading. По данным CrowdStrike, 82% атак обходятся без вредоносных бинарников

⚡️ Indirect syscalls vs direct: второй оставляет return address вне ntdll.dll — Falcon ловит именно это. HookChain показал 88% обхода на 26 EDR, но kernel callbacks продолжают работать.

Обход EDR — это про понимание цепочки: агент → SIEM → корреляция.

Подробнее: https://codeby.net/threads/red-team-vs-soc-kak-pentester-obkhodit-edr-i-siem-v-real-nykh-proyektakh.92651/