恶意软件反向关闭EDR的原理、测试和反制思考

研究起因

近来，看到曾经一起工作的兄弟在研究反制EDR，视频如下：

R3对抗杀软，走杀软的路，让杀软无路可走~_哔哩哔哩_bilibili

项目介绍

原理

加载自带微软官方签名的sysinternals的进程管理驱动器(ProcExp) ，利用其导出函数做到 Kill EDR 的效果。

参考了Backstab项目，主要进行如下行为：

1. 将嵌入式驱动器存储至磁盘上;