▶ Escanear EDR y AV instalados en Windows

EDRHunt Escanee los servicios, controladores, procesos y el registro de Windows en busca de EDR (Detección y respuesta de puntos finales) instalados. Leer más sobre EDRHunt

Tabla de Contenidos

Instalar en pc

binario
- Descargue la última versión desde la sección Versiones. La versión está construida para windows/amd64.
ir
- Go debe estar instalado en el sistema. Probado en Go1.17+.
- go install github.com/FourCoreLabs/EDRHunt/cmd/EDRHunt@master

uso

$ .\EDRHunt.exe escaneo
[EDR]
EDR detectado: Windows Defender
EDR detectado: Kaspersky Security

escanear todo

$ .\EDRHunt.exe todo
Ejecutándose en modo de usuario, escale al administrador para obtener más detalles.
Escanea en busca de procesos, servicios, drivers y registros…
[PROCESSES]
Nombre de proceso sospechoso: MsMpEng.exe
Descripción: MsMpEng.exe
Descripción: MsMpEng.exe
binario:
ID de proceso: 6764
Proceso principal: 1148
Procese la línea de comando:
Metadatos del archivo:
Coincidencia de palabras clave: [msmpeng]
Nombre de proceso sospechoso: NisSrv.exe
Descripción: NisSrv.exe
Descripción: NisSrv.exe
binario:
ID de proceso: 9840
Proceso principal: 1148
Procese la línea de comando:
Metadatos del archivo:
partido Palabras clave: [nissrv]

Encuentre controladores que coincidan con las palabras clave de EDR

/ / _ \/ _ \ / / / / / / / | / / / / / / / / / / // / / / / |/ / / / |/ / / /
////// , //_ //// /| / / / //// || ////___// |//_/
FourCore Labs (https://fourcore.vision) | Versión: 1.1
Ejecutándose en modo de usuario, escale al administrador para obtener más detalles.
[DRIVERS]
Módulo controlador sospechoso: WdFilter.sys
Ruta del archivo del controlador: c:\windows\system32\drivers\wd\wdfilter.sys
Metadatos del archivo del controlador:
Nombre del producto: Sistema operativo Microsoft® Windows®
Nombre de archivo original: WdFilter.sys
Nombre de archivo interno: WdFilter
Nombre de la empresa: Microsoft Corporation
Descripción del archivo: Microsoft Antimalware File System Filter Driver
Versión del producto: 4.18.2109.6
Notas:
Copyright legal: © Microsoft Corporation. todos los derechos reservados.
Marca legal:
Coincidencia de palabras clave: [antimalware malware]
Módulo de controlador sospechoso: hvsiltr.sys
Ruta del archivo del controlador: c:\windows\system32\drivers\hvsiltr.sys
Metadatos del archivo del controlador:
Nombre del producto: Sistema operativo Microsoft® Windows®
Nombre de archivo original: hvsiltr.sys.mui
Nombre de archivo interno: hvsiltr.sys
Nombre de la empresa: Microsoft Corporation
Descripción del archivo: Controlador de filtro de protección de aplicaciones de Microsoft Defender
Versión del producto: 10.0.19041.1
Notas:
Copyright legal: © Microsoft Corporation. todos los derechos reservados.
Marca legal:
Coincidencia de palabras clave: [defender]
Módulo de controlador sospechoso: WdNisDrv.sys
Ruta del archivo del controlador: c:\windows\system32\drivers\wd\wdnisdrv.sys
Metadatos del archivo del controlador:
Nombre del producto: Sistema operativo Microsoft® Windows®
Nombre de archivo original: wdnisdrv.sys
Nombre de archivo interno: wdnisdrv.sys
Nombre de la empresa: Microsoft Corporation
Descripción del archivo: Filtro de flujo de red de Windows Defender
Versión del producto: 4.18.2109.6
Notas:
Copyright legal: © Microsoft Corporation. todos los derechos reservados.
Marca legal:
Coincidencia de palabras clave: [defender]
…