آب دستتونه بذارین زمین اینو بخونین
مقوله EDR-Freeze یک تکنیک PoC است که با سوءاستفاده از اجزای قانونی ویندوز مانند WerFaultSecure.exe و تابع MiniDumpWriteDump، فرآیندهای امنیتی (مثل Windows Defender) را موقتاً suspend می‌کند. این حالت “کما” باعث می‌شود فرآیند فعال بماند اما Telemetry کمی تولید کند. تحلیل فارنزیکی با Volatility و MemProcFS نشان می‌دهد Threadهای هدف در بازه حمله suspend شده و Helper دارای Handles با دسترسی کامل به Process و Threadهای آن است. شواهد جانبی مانند فایل موقت (t.txt) برای Timeline مفیدند. دفاع مؤثر نیازمند تشخیص کیفیت Telemetry، Tamper Protection و شناسایی سوءاستفاده از اجزای استاندارد ویندوز است.
https://itamarhall.github.io/Tracepoint/blog/writeups/edr-freeze-investigation/
مقوله EDR-Freeze یک تکنیک PoC است که با سوءاستفاده از اجزای قانونی ویندوز مانند WerFaultSecure.exe و تابع MiniDumpWriteDump، فرآیندهای امنیتی (مثل Windows Defender) را موقتاً suspend می‌کند. این حالت “کما” باعث می‌شود فرآیند فعال بماند اما Telemetry کمی تولید کند. تحلیل فارنزیکی با Volatility و MemProcFS نشان می‌دهد Threadهای هدف در بازه حمله suspend شده و Helper دارای Handles با دسترسی کامل به Process و Threadهای آن است. شواهد جانبی مانند فایل موقت (t.txt) برای Timeline مفیدند. دفاع مؤثر نیازمند تشخیص کیفیت Telemetry، Tamper Protection و شناسایی سوءاستفاده از اجزای استاندارد ویندوز است.
https://itamarhall.github.io/Tracepoint/blog/writeups/edr-freeze-investigation/
Comments
Be the first to add a comment
Log in to comment