در این مقاله، نویسنده معرفی می‌کند که چطور ابزار جدیدی به نام EDR-Freeze می‌تواند فرآیندهای EDR و آنتی‌ویروس را عمداً به حالت «کما» یا تعلیق کامل ببرد.
روش سنتی هکرها برای خاموش کردن این ابزارها، تکنیک BYOVD (Bring Your Own Vulnerable Driver) بود که نیاز داشت درایور آسیب‌پذیر روی سیستم نصب کنند یا اجرا کنند. اما این کار پرهزینه و پیچیده است.
اینجا، نویسنده رویکرد ساده‌تری را توضیح می‌دهد: استفاده از قابلیت موجود در ویندوز به اسم Windows Error Reporting و تابع MiniDumpWriteDump که برای گرفتن مینی‌دامپ از یک پروسه طراحی شده است. نکته کلیدی این تابع این است که همه نخ‌های (threads) آن پروسه را در هنگام گرفتن دامپ متوقف می‌کند.
مشکل اول، این توقف معمولاً خیلی کوتاه است. برای طولانی کردن آن، نویسنده سراغ اجرای WerFaultSecure.exe رفت — ابزاری که می‌تواند با سطح حفاظت PPL (Protected Process Light) کار کند. این حفاظت مخصوص فرآیندهای حساس مثل آنتی‌ویروس و EDR است.
با ترکیب این ابزار با تکنیک‌های ایجاد پروسه معلق (CREATE_SUSPENDED) و استفاده از OpenProcess با مجوز PROCESS_SUSPEND_RESUME، می‌توان نه تنها فرآیندهای عادی بلکه فرآیندهای PPL را هم متوقف کرد. حتی اشاره می‌کند که با ابزار ساده‌ای مثل Process Explorer، محققان امنیتی می‌توانند این کار را به راحتی انجام دهند.
خلاصه، این حمله:
نیازی به درایور خارجی یا آسیب‌پذیر ندارد.
از توابع کاربر-مد (user-mode) ویندوز استفاده می‌کند.
می‌تواند سیستم‌های محافظت‌شده مثل آنتی‌ویروس یا EDR را بی‌صدا متوقف کند، بدون حذف یا کرش کردن آن‌ها.
این رویکرد، اگرچه در مقاله بیشتر به عنوان یک تحقیق یا ترفند رِد تیم ذکر شده، نشان می‌دهد که چطور قابلیت‌های بومی ویندوز می‌توانند نقطه آسیب غیرمنتظره‌ای برای دفاع‌کنندگان باشند.
https://www.zerosalarium.com/2025/09/EDR-Freeze-Puts-EDRs-Antivirus-Into-Coma.html?m=1
روش سنتی هکرها برای خاموش کردن این ابزارها، تکنیک BYOVD (Bring Your Own Vulnerable Driver) بود که نیاز داشت درایور آسیب‌پذیر روی سیستم نصب کنند یا اجرا کنند. اما این کار پرهزینه و پیچیده است.
اینجا، نویسنده رویکرد ساده‌تری را توضیح می‌دهد: استفاده از قابلیت موجود در ویندوز به اسم Windows Error Reporting و تابع MiniDumpWriteDump که برای گرفتن مینی‌دامپ از یک پروسه طراحی شده است. نکته کلیدی این تابع این است که همه نخ‌های (threads) آن پروسه را در هنگام گرفتن دامپ متوقف می‌کند.
مشکل اول، این توقف معمولاً خیلی کوتاه است. برای طولانی کردن آن، نویسنده سراغ اجرای WerFaultSecure.exe رفت — ابزاری که می‌تواند با سطح حفاظت PPL (Protected Process Light) کار کند. این حفاظت مخصوص فرآیندهای حساس مثل آنتی‌ویروس و EDR است.
با ترکیب این ابزار با تکنیک‌های ایجاد پروسه معلق (CREATE_SUSPENDED) و استفاده از OpenProcess با مجوز PROCESS_SUSPEND_RESUME، می‌توان نه تنها فرآیندهای عادی بلکه فرآیندهای PPL را هم متوقف کرد. حتی اشاره می‌کند که با ابزار ساده‌ای مثل Process Explorer، محققان امنیتی می‌توانند این کار را به راحتی انجام دهند.
خلاصه، این حمله:
نیازی به درایور خارجی یا آسیب‌پذیر ندارد.
از توابع کاربر-مد (user-mode) ویندوز استفاده می‌کند.
می‌تواند سیستم‌های محافظت‌شده مثل آنتی‌ویروس یا EDR را بی‌صدا متوقف کند، بدون حذف یا کرش کردن آن‌ها.
این رویکرد، اگرچه در مقاله بیشتر به عنوان یک تحقیق یا ترفند رِد تیم ذکر شده، نشان می‌دهد که چطور قابلیت‌های بومی ویندوز می‌توانند نقطه آسیب غیرمنتظره‌ای برای دفاع‌کنندگان باشند.
https://www.zerosalarium.com/2025/09/EDR-Freeze-Puts-EDRs-Antivirus-Into-Coma.html?m=1
Comments
Be the first to add a comment
Log in to comment