Статья Обнаружение AV, EDR и XDR в Windows после компрометации

[devqp]

Цель: После компрометации системы Windows необходимо идентифицировать установленные защитные решения (AV, EDR, XDR). Для этого анализируются работающие процессы, установленные приложения, службы и данные реестра.

1. Поиск работающих процессов:
Используйте следующие команды:
В командной строке:

tasklist /v

wmic process get name,processid

В PowerShell:

Get-Process

2. Поиск установленных приложений:
Проверьте каталоги программ и данные WMI:

dir "C:\Program Files"

dir "C:\Program Files (x86)"

wmic product get name, version

3. Поиск служб:
Команды для просмотра служб:

net start

sc query state=all

4. Инструменты автоматизации:
Для упрощения обнаружения используйте специализированные утилиты:
- EDRHunt: https://github.com/FourCoreLabs/EDRHunt
- SharpEDRChecker: https://github.com/PwnDexter/SharpEDRChecker

Собранные данные позволяют выявить наличие антивирусов, EDR/XDR-систем и других защитных механизмов.