Neue Angriffsmethode: EDR-Freeze setzt Sicherheitssoftware außer Gefecht

LONDON (IT BOLTWISE) – Eine neue Angriffsmethode namens EDR-Freeze ermöglicht es Hackern, Sicherheitssoftware auf Windows-Systemen vorübergehend auszuschalten. Diese Technik nutzt legitime Windows-Komponenten, um Sicherheitsprozesse zu manipulieren, ohne dass anfällige Treiber erforderlich sind. Dies stellt eine erhebliche Herausforderung für Sicherheitsanbieter dar, die ihre Erkennungsmechanismen weiterentwickeln müssen.

Die Veröffentlichung eines neuen Tools namens EDR-Freeze durch den Sicherheitsforscher TwoSevenOneT hat in der IT-Sicherheitsbranche für Aufsehen gesorgt. Dieses Tool kann Endpoint Detection and Response (EDR) Systeme sowie Antivirensoftware vorübergehend deaktivieren, ohne auf anfällige Treiber angewiesen zu sein. Dies markiert einen bedeutenden Fortschritt in den Angriffstechniken, die auf Sicherheitslösungen abzielen.

EDR-Freeze nutzt die Windows-Fehlerberichterstattung, um Sicherheitsprozesse durch einen ausgeklügelten Race-Condition-Angriff zu suspendieren. Im Gegensatz zu herkömmlichen Methoden, die anfällige Treiber erfordern, arbeitet EDR-Freeze vollständig im User-Mode und verwendet legitime Windows-Komponenten. Der Angriff nutzt die MiniDumpWriteDump-Funktion aus der DbgHelp-Bibliothek von Windows, die Speicherabbilder laufender Prozesse für Debugging-Zwecke erstellt.

Während dieser Operation werden alle Threads im Zielprozess angehalten, um eine konsistente Speicheraufnahme zu gewährleisten. EDR-Freeze nutzt dieses Verhalten aus, indem es den Dump-Prozess gegen Sicherheitssoftware auslöst und dann den Dump-Prozess selbst aussetzt, wodurch die Ziel-Sicherheitslösung auf unbestimmte Zeit eingefroren wird. Diese Technik zielt speziell auf den Prozess WerFaultSecure.exe ab, eine Komponente der Windows-Fehlerberichterstattung, die mit Protected Process Light (PPL) Privilegien auf WinTCB-Ebene laufen kann.

Durch die Kombination mit dem CreateProcessAsPPL-Tool können Angreifer PPL-Schutzmechanismen umgehen, die Sicherheitsprozesse normalerweise vor unbefugtem Zugriff schützen. Der Forscher demonstrierte erfolgreich, wie EDR-Freeze den MsMpEng.exe-Prozess von Windows Defender auf Windows 11 24H2 für eine bestimmte Dauer aussetzen kann. Das Tool akzeptiert zwei Parameter: die Prozess-ID der Ziel-Sicherheitssoftware und die Aussetzungsdauer, was Angreifern ermöglicht, die Überwachung während bösartiger Aktivitäten vorübergehend zu deaktivieren.

Diese Methode adressiert wesentliche Einschränkungen von BYOVD-Angriffen, die das Bereitstellen anfälliger Treiber erfordern, die auf überwachten Systemen Alarme auslösen können. EDR-Freeze verwendet nur legitime Windows-Prozesse, was die Erkennung für Sicherheitsteams erschwert. Die Veröffentlichung des Tools unterstreicht die anhaltende Dynamik zwischen Angreifern und Sicherheitsanbietern. Da EDR-Lösungen immer ausgefeilter werden, um BYOVD-Techniken zu erkennen, entwickeln Bedrohungsakteure alternative Methoden, um ähnliche Ziele mit eingebauten Betriebssystemfunktionen zu erreichen.

Sicherheitsteams können die potenzielle Nutzung von EDR-Freeze überwachen, indem sie die Kommandozeilenparameter von WerFaultSecure.exe untersuchen. Verdächtige Aktivitäten umfassen Prozesse, die auf sensible Systemprozesse wie LSASS, Antiviren-Engines oder EDR-Agenten abzielen, was auf einen versuchten Manipulationsversuch der Sicherheitssoftware hinweisen könnte. Der Forscher hat den Quellcode von EDR-Freeze auf GitHub öffentlich zugänglich gemacht und betont, dass er für legitime Sicherheitsforschung und Red-Team-Übungen gedacht ist. Dennoch werfen die Fähigkeiten des Tools Bedenken hinsichtlich eines möglichen Missbrauchs durch böswillige Akteure auf, die versuchen, Sicherheitskontrollen während Angriffen zu umgehen.

Organisationen sollten ihre Sicherheitsüberwachungsfähigkeiten überprüfen, um ungewöhnliche Aktivitäten von WerFaultSecure.exe zu erkennen, und erwägen, zusätzliche Prozessschutzmechanismen über die Standard-PPL-Schutzmaßnahmen hinaus zu implementieren, um sich gegen diese aufkommende Umgehungstechnik zu verteidigen.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

30,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Vikye KI -Roboter Angetrieben von Deepseek, Smart Talking Desk Companion mit 1,28 "Bildschirm, Sprachsteuerung, WLAN -Wetteruhr und Bluetooth Music Player

30,50 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

ZOOI Geschenke für Männer, Geburtstagsgeschenk für Männer, Gadgets für Männer, Geschenke für Papa Geschenk Männergeschenk Adventskalender Füllung Männer, Bluetooth Lautsprecher mit Handyständer

20,99 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

QCOQ® Air Tags 4er Pack Schwarz, Schlüsselfinder & Air Tracker Tagg Kompatibel mit Apple Wo ist? App (Nur iOS), Smart Key Finder mit Schlüsselband, Koffer-Tracker für Taschen/Keys, Austauschbarer Akku

36,99 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

169,00 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!