Статья Обнаружение защитных решений в Windows после компрометации

[devqp]

После компрометации системы Windows критически важно оперативно выявить активные защитные механизмы (AV/EDR/XDR). Для этого проанализируйте следующие компоненты:

1. Активные процессы:
Используйте команды:

tasklist /v

wmic process get name,processid

В PowerShell:

Get-Process

2. Установленное ПО:
Проверьте каталоги:

dir "C:\Program Files"

dir "C:\Program Files (x86)"

Через WMI:

wmic product get name, version

3. Запущенные службы:

net start

sc query state=all

Сравните вывод команд с сигнатурами известных защитных решений. Для автоматизации используйте специализированные инструменты:
- EDRHunt (https://github.com/FourCoreLabs/EDRHunt)
- SharpEDRChecker (https://github.com/PwnDexter/SharpEDRChecker)