Отдельно рассматриваются NDIS-драйверы, например, Npcap/WinPcap, позволяющие обращаться к сетевому интерфейсу в обход стандартного TCP/IP-стека Windows.
Это тоже должно помочь обойти Event ID 22 и Event ID 3, но тоже оставляет следы загрузки компонентов.
Для Npcap — Sysmon Event ID 7 для загрузки библиотек и Event ID 6 для драйвера.
Соответствующее правило отсутствует в стандартной конфигурации Sysmon.
➡️ Подробности — [Red Hand: DNS visibility evasion](https://redhand.io/resources/dns-visibility-evasion)
#DNS #Windows #EDR #RedTeam
Who Let The Dogs Out 🐾
npub1wk…82haj
2026-10-15 20:42:13 UTC
in reply to nevent1q…nwqh
Author Public Key
npub1wkxp0hvyfdmsyyrmu64zq3wx4xclylqszjjlm0xlnq5a6u9306pqr82hajSeen on
wss://nostr.twinkle.lolPublished at
2026-10-15 20:42:13 UTCEvent JSON
{
"id": "9963e3e5b98a2e2dafe8e5c9707a9aea9c9f0f6ff421813bdd06537c01a3a1ac",
"pubkey": "758c17dd844b7702107be6aa2045c6a9b1f27c1014a5fdbcdf9829dd70b17e82",
"created_at": 1792096933,
"kind": 1,
"tags": [
[
"e",
"e108ab1d9a0c9ec686d82ef49b0e46b4e36c6552e48cd8a79ba161ae90c13037",
"wss://nostr.twinkle.lol",
"reply"
],
[
"t",
"dns"
],
[
"t",
"windows"
],
[
"t",
"edr"
],
[
"t",
"redteam"
],
[
"proxy",
"https://mastodon.ml/users/ashed/statuses/117446864661923528",
"activitypub"
]
],
"content": "Отдельно рассматриваются NDIS-драйверы, например, Npcap/WinPcap, позволяющие обращаться к сетевому интерфейсу в обход стандартного TCP/IP-стека Windows. \nЭто тоже должно помочь обойти Event ID 22 и Event ID 3, но тоже оставляет следы загрузки компонентов. \nДля Npcap — Sysmon Event ID 7 для загрузки библиотек и Event ID 6 для драйвера. \nСоответствующее правило отсутствует в стандартной конфигурации Sysmon.\n\n➡️ Подробности — [Red Hand: DNS visibility evasion](https://redhand.io/resources/dns-visibility-evasion)\n\n#DNS #Windows #EDR #RedTeam",
"sig": "5d639f0ebc05baab3f684307c8a9a2973a21e0a7154a8f058266a99d7630851799598e215e2e859e37b13ed22c7d46beb61ff2abd46ce4d4e379f78a5a867690"
}