Исследования детекта, релизы, доктрина.
Как видит современный EDR, где живут его слепые зоны и как мы их изучаем — карты телеметрии, наши исследования BYOVD-драйверов, обзоры распространённых техник обхода — плюс аннотированные заметки о релизах каждый квартал и иногда доктрина дизайна. Пишем так, чтобы было полезно и защитникам. Публикуем на уровне категорий; рецепты и детали реализации остаются в лицензионных материалах.
Костюм — не акцент.
Провод — единственное место, где нельзя зашифроваться до невидимости. Двадцать три C2-профиля, запечатанные сессии с ротируемой идентичностью, фронтинг через edge, мутация нагрузки на каждую отдачу — что каждый слой покупает и почему каждый слой выигрывает свой слой, но никто не выигрывает слой выше. С проводным реестром.
2026-10 · читать 13Восемь способов пережить перезагрузку, с ценниками.
Аудит персистентности: восемь локаций автозапуска, которые мы поставляем, — от реестровой пары до BITS — что каждая покупает и сколько стоит под современной телеметрией, почему Run и RunOnce считаются одной строкой, генерация на хост и семейство Ghost над стандартным списком. С охотой на автозапуск.
2026-10 · читать 12Как бы мы охотились на себя.
Детект-инжиниринг против C2 в памяти, с другой стороны. Закон сохранения улик; охота на память по форме, а не по байтам; почему джиттер проигрывает статистике; таблица именованных каналов, которую все забывают, — и пробелы в телеметрии, которые мы оставляем сознательно. С реестром уступок и блокнотом охотника.
2026-10 · читать 11Сколько ещё стоит каждый обход.
Прямые и непрямые сисколлы, разхукивание, подмена стека вызовов, обфускация сна, порча ETW — полка обходов с показаниями счётчиков. Что каждая техника покупает, сколько ещё стоит, как мы её гоняем в C-агенте — и почему импланты с одним трюком быстро стареют. С прейскурантом.
2026-10 · читать 10Mimikatz — магнит. Мы используем библиотеку.
У каждого EDR на планете есть стек правил на самый громкий бинарь индустрии. Модуль discovery идёт другим путём: DCSync, Kerberoast, ADCS ESC1–14, shadow credentials — через защитническую .NET-библиотеку, захощенную в-процессе, затёртую при выходе. Конвейер от разведки до ключей, с телеметрией, которой не избежать.
2026-10 · читать 09Шелл, которого не было
Управляемый ответ стеку защиты PowerShell — переключить два поля, захостить свой runspace — оставляет четыре сирены из шести орущими. Phantom Shell отвечает всем шести: 116 билтинов, которые не создают ничего, ленивый CLR runspace, стабы return-clean для AMSI/ETW с временем жизни одной команды, кэш политики, о котором никто не говорит, и аварийный каркас. Со стабами, бок о бок.
2026-10 · читать 08Что выносит приговор инжектору? Шесть приманок, два контроля, один ответ.
Контролируемая серия приманок против SentinelOne + Defender на 24H2 — шесть паттернов инъекции и два контроля, одна переменная за раз, каждая строка воспроизведена. Приговор переворачивает фольклор: важно не то, что делает ваш код, а где он живёт. С полной доской и очертанием выжившего.
2026-10 · читать 07Матрица: как ревизия заслуживает выпуск
«Недетектируемо» — прилагательное; мы держим метод. Внутри лаборатории оценки: отслеживаемая AV/EDR-матрица, три дорожки на семейство движков, разбор телеметрии, петля регресса при падении дорожки — и тупики, которые мы храним. С правилом выпуска и результатом rev 0328.
2026-10 · читать 06Путь домой, опубликованный в блокчейне
Ghost Chain со стороны проектирования: почему DGA и fast flux проигрывают, что на самом деле содержит запись восстановления в Polygon — запечатанный Ed25519 конверт с монотонной эпохой, — и честный счёт: публичный шифротекст, зависимость от RPC, гигиена кошелька. Со структурой записи и последовательностью восстановления.
2026-10 · читать 05Rev 0328: квитанции и вежливый билдер
Осенний релиз с аннотациями: подтверждения push Ghost Chain, которые наконец видно, трафик-профиль на билд с персональной полиморфностью, экспорт аудита в CSV, самообновляющийся десктоп-клиент и полностью двуязычная панель. Что вышло и почему оно работает именно так.
2026-10 · читать 04Бюджет 225 КБ
Почему агент C — маленькое ядро, которое почти ничего не несёт, — и как устроено депо модулей по требованию: пулы под каждую ОС, одноразовые токены выдачи, ключи на модуль, затирание при выгрузке. С полной таблицей бюджета и последовательностью выдачи.
2026-10 · читать 03BYOVD со стороны исследователя
Подмена уязвимого драйвера — самая громкая техника обхода десятилетия. Как ломается модель доверия к подписанным драйверам, как мы собираем, сортируем и оцениваем кандидатов для нашей проприетарной BYOVD-возможности — и единственная политика, которая реально это останавливает. С диаграммой цепочки и карточкой кандидата.
2026-10 · читать 02Как вас видит EDR
Карта современного стека детекта: хуки в пользовательском режиме, ядерные колбэки, ETW, AMSI — и движок корреляции, который и есть настоящий продукт. Где каждый слой силён, где тихо проваливается и что защитникам стоит измерять вместо этого. С диаграммой стека и аннотированным потоком событий.
2026-10 · читать 01Панель и есть продукт
Почему мы построили C2 с приоритетом браузера — и что удалили ради этого. Доктрина за каждым решением на этом сайте: рабочая станция как учётные данные, честная страница консоли и цена, которую браузерность берёт на проводе.
2026-09 · читатьАнонсы новых заметок выходят вместе с ежеквартальными заметками о релизах.