独家BOF插件 | 无文件落地+内存执行一键关闭Defender

现在只对常读和星标的公众号才展示大图推送，建议大家能把星落安全团队“设为星标”，否则可能就看不到了啦！

自ESET研究员ESN1N发布DefendNot工具以来，安全研究人员发现可通过Windows WSC API注册虚假杀毒软件，诱使系统误判安全状态，从而自动关闭Defender。

作者的原生实现技术本身是有效的，但传统DLL加载方式需要对抗静态检测（Defender会主动上传样本进行云分析，导致免杀时效性大幅降低）。而通过CobaltStrike的BOF功能重构方案后：

1. 将DefendNot改造为反射式DLL
2. 基于ReflectiveDLLInjection实现BOF化最终达成：✓ 纯内存执行（零文件落地）✓ 图形化一键操作（CS客户端集成）✓ 完全规避Defender的静态/行为检测

获取方式：一键禁用defender、cobaltstrike4.9.1 linux专版、免杀加载器以及其他发布的工具都放在了内部星球里。

相关视频

使用方法

1. 使用的是xlanyloader1.5最新版本加载器，加载由sgn混淆后的stagerless bin文件，即可绕过defender上线CobaltStrike。

相关连接：

2. 加载星落免杀专属的XlExpKit插件即可，图形化点击即可。

相关连接：