مهم


بای پس Elastic EDR با Zero day


هم اکنون EDR های خود را دریابید


درایور elastic-endpoint-driver.sys که توسط «Microsoft Windows Hardware Compatibility Publisher» امضا شده، بخشی حیاتی از محصول Elastic EDR/Elastic Agent است. این امضا باعث می‌شود ویندوز و بسیاری از راهکارهای امنیتی به آن اعتماد کنند و آن را بدون بررسی عمیق بارگذاری کنند. نقصی که کشف شده، از نوع NULL Pointer Dereference (CWE‑476) است؛ یعنی ورودی‌های کنترل‌شده توسط کاربر بدون اعتبارسنجی مناسب وارد فانکشن‌های کرنل می‌شوند و می‌توانند باعث اجرای کد یا کرش سیستم شوند.

چنین درایورهای امضاشده ولی آسیب‌پذیر پیش‌تر هم مورد سوءاستفاده قرار گرفته‌اند، تکنیکی که به آن Bring Your Own Vulnerable Driver (BYOVD) می‌گویند. ابزارها و گروه‌هایی که از این روش استفاده کرده یا قابلیت آن را دارند، شامل:

EDRSandBlast، GodFault و AuKill برای غیرفعال کردن آنتی‌ویروس و EDR.
باج افرارهایی مثل BlackByte، BlackCat/ALPHV و Slingshot APT که قبل از رمزگذاری، محصولات امنیتی را با سوءاستفاده از درایورهای آسیب‌پذیر می‌کشند.
ابزار عمومی مثل KernelForge، KDU، و CheekyBlinder که برای بارگذاری و اکسپلویت درایور استفاده می‌شوند.

پروداکت‌هایی که ممکن است در معرض خطر باشند:

تمام نسخه‌های Elastic Defend / Elastic Agent که از این درایور نسخه 8.17.6 استفاده کنند.
سایر محصولات امنیتی یا نرم‌افزارهای سازمانی که این درایور را باندل کرده باشند (مثلاً در نسخه‌های خاص باندل‌شده SIEM/EDR).
هر محیط ویندوزی که اجازه بارگذاری این درایور امضاشده را بدهد، حتی اگر Elastic نصب نباشد ولی مسیر بارگذاری را مهاجم کنترل کند

#آکادمی_روزبه
مرکز تخصصی CISSP

https://cybersecuritynews-com.cdn.ampproject.org/c/s/cybersecuritynews.com/elastic-edr-0-day-vulnerability/amp/