‏⭕️ مدتی پیش تحقیقی مبنی بر شناسایی تهدیدات در سطح مموری با استفاده از Kernel ETW Call Stacks ها ارایه شد، که XDR Elastic ادعا بر انجام آن کرده بود.
حال پروژه ای مبتنی بر پروژه های LoudSunRun و CallStackSpoofer ایجاد شده که Stack spoofing توسط Fake stack frame اقدام به دور زدن این مورد میکند.
به طوری که:
ما با قرار دادن اسم Module مورد نظر و Fake frame در کلاس مورد نظر این اقدام را انجام میدهیم،از جهتی در پروژه قبلی از گجت jmp RBX مورد استفاده قرار میگرفت، اما در این پروژه از jmp RDI استفاده میشود.

#RedTeam #Evasion #MalDev
@securation