Обходим DNS-логирование в Windows
Ребята из Red Hand описали несколько способов обойти часть DNS-телеметрии Windows, в частности — Sysmon Event ID 22, связанный с провайдером ETW Microsoft-Windows-DNS-Client.
Event ID 22 регистрирует запросы через штатный DNS-клиент Windows, но не перехватывает сетевой трафик.
Если приложение отправляет DNS-запросы напрямую, не используя Windows DNS Client, событие может не появиться.
А может и появиться.
Один из самых простых вариантов в статье — отправить DNS-запрос через обычный сокет, минуя Windows DNS Client. Это позволяет избежать Event ID 22 без повышенных привилегий.
Хотя сетевое соединение может быть зарегистрировано событием Sysmon Event ID 3.
Для обхода Event ID 3 автор описывает raw sockets: они проходят ниже уровня, на котором расположен сетевой хук Sysmon (требует прав админа).
#DNS #Windows #EDR #RedTeam
Who Let The Dogs Out 🐾
npub1wk…82haj
2026-10-15 20:42:13 UTC
Author Public Key
npub1wkxp0hvyfdmsyyrmu64zq3wx4xclylqszjjlm0xlnq5a6u9306pqr82hajSeen on
wss://nostr.twinkle.lolPublished at
2026-10-15 20:42:13 UTCEvent JSON
{
"id": "e108ab1d9a0c9ec686d82ef49b0e46b4e36c6552e48cd8a79ba161ae90c13037",
"pubkey": "758c17dd844b7702107be6aa2045c6a9b1f27c1014a5fdbcdf9829dd70b17e82",
"created_at": 1792096933,
"kind": 1,
"tags": [
[
"t",
"dns"
],
[
"t",
"windows"
],
[
"t",
"edr"
],
[
"t",
"redteam"
],
[
"proxy",
"https://mastodon.ml/users/ashed/statuses/117446864641769623",
"activitypub"
]
],
"content": "Обходим DNS-логирование в Windows\n\nРебята из Red Hand описали несколько способов обойти часть DNS-телеметрии Windows, в частности — Sysmon Event ID 22, связанный с провайдером ETW Microsoft-Windows-DNS-Client.\n\nEvent ID 22 регистрирует запросы через штатный DNS-клиент Windows, но не перехватывает сетевой трафик. \nЕсли приложение отправляет DNS-запросы напрямую, не используя Windows DNS Client, событие может не появиться. \nА может и появиться.\n\nОдин из самых простых вариантов в статье — отправить DNS-запрос через обычный сокет, минуя Windows DNS Client. Это позволяет избежать Event ID 22 без повышенных привилегий. \n\nХотя сетевое соединение может быть зарегистрировано событием Sysmon Event ID 3. \n\nДля обхода Event ID 3 автор описывает raw sockets: они проходят ниже уровня, на котором расположен сетевой хук Sysmon (требует прав админа).\n\n#DNS #Windows #EDR #RedTeam",
"sig": "2076a7c6966497efd82c13ed964f7e59a0d973862d2a9b2c26f08344a053333568e63ace2630d92344253780738aae4db7aacc62d845a6ac09deedafce38eeee"
}