LONDON (IT BOLTWISE) – Eine neue Angriffsmethode namens EDR-Freeze ermöglicht es Hackern, Sicherheitssoftware auf Windows-Systemen vorübergehend auszuschalten. Diese Technik nutzt legitime Windows-Komponenten, um Sicherheitsprozesse zu manipulieren, ohne dass anfällige Treiber erforderlich sind. Dies stellt eine erhebliche Herausforderung für Sicherheitsanbieter dar, die ihre Erkennungsmechanismen weiterentwickeln müssen.
Die Veröffentlichung eines neuen Tools namens EDR-Freeze durch den Sicherheitsforscher TwoSevenOneT hat in der IT-Sicherheitsbranche für Aufsehen gesorgt. Dieses Tool kann Endpoint Detection and Response (EDR) Systeme sowie Antivirensoftware vorübergehend deaktivieren, ohne auf anfällige Treiber angewiesen zu sein. Dies markiert einen bedeutenden Fortschritt in den Angriffstechniken, die auf Sicherheitslösungen abzielen.
EDR-Freeze nutzt die Windows-Fehlerberichterstattung, um Sicherheitsprozesse durch einen ausgeklügelten Race-Condition-Angriff zu suspendieren. Im Gegensatz zu herkömmlichen Methoden, die anfällige Treiber erfordern, arbeitet EDR-Freeze vollständig im User-Mode und verwendet legitime Windows-Komponenten. Der Angriff nutzt die MiniDumpWriteDump-Funktion aus der DbgHelp-Bibliothek von Windows, die Speicherabbilder laufender Prozesse für Debugging-Zwecke erstellt.
Während dieser Operation werden alle Threads im Zielprozess angehalten, um eine konsistente Speicheraufnahme zu gewährleisten. EDR-Freeze nutzt dieses Verhalten aus, indem es den Dump-Prozess gegen Sicherheitssoftware auslöst und dann den Dump-Prozess selbst aussetzt, wodurch die Ziel-Sicherheitslösung auf unbestimmte Zeit eingefroren wird. Diese Technik zielt speziell auf den Prozess WerFaultSecure.exe ab, eine Komponente der Windows-Fehlerberichterstattung, die mit Protected Process Light (PPL) Privilegien auf WinTCB-Ebene laufen kann.
Durch die Kombination mit dem CreateProcessAsPPL-Tool können Angreifer PPL-Schutzmechanismen umgehen, die Sicherheitsprozesse normalerweise vor unbefugtem Zugriff schützen. Der Forscher demonstrierte erfolgreich, wie EDR-Freeze den MsMpEng.exe-Prozess von Windows Defender auf Windows 11 24H2 für eine bestimmte Dauer aussetzen kann. Das Tool akzeptiert zwei Parameter: die Prozess-ID der Ziel-Sicherheitssoftware und die Aussetzungsdauer, was Angreifern ermöglicht, die Überwachung während bösartiger Aktivitäten vorübergehend zu deaktivieren.
Diese Methode adressiert wesentliche Einschränkungen von BYOVD-Angriffen, die das Bereitstellen anfälliger Treiber erfordern, die auf überwachten Systemen Alarme auslösen können. EDR-Freeze verwendet nur legitime Windows-Prozesse, was die Erkennung für Sicherheitsteams erschwert. Die Veröffentlichung des Tools unterstreicht die anhaltende Dynamik zwischen Angreifern und Sicherheitsanbietern. Da EDR-Lösungen immer ausgefeilter werden, um BYOVD-Techniken zu erkennen, entwickeln Bedrohungsakteure alternative Methoden, um ähnliche Ziele mit eingebauten Betriebssystemfunktionen zu erreichen.
Sicherheitsteams können die potenzielle Nutzung von EDR-Freeze überwachen, indem sie die Kommandozeilenparameter von WerFaultSecure.exe untersuchen. Verdächtige Aktivitäten umfassen Prozesse, die auf sensible Systemprozesse wie LSASS, Antiviren-Engines oder EDR-Agenten abzielen, was auf einen versuchten Manipulationsversuch der Sicherheitssoftware hinweisen könnte. Der Forscher hat den Quellcode von EDR-Freeze auf GitHub öffentlich zugänglich gemacht und betont, dass er für legitime Sicherheitsforschung und Red-Team-Übungen gedacht ist. Dennoch werfen die Fähigkeiten des Tools Bedenken hinsichtlich eines möglichen Missbrauchs durch böswillige Akteure auf, die versuchen, Sicherheitskontrollen während Angriffen zu umgehen.
Organisationen sollten ihre Sicherheitsüberwachungsfähigkeiten überprüfen, um ungewöhnliche Aktivitäten von WerFaultSecure.exe zu erkennen, und erwägen, zusätzliche Prozessschutzmechanismen über die Standard-PPL-Schutzmaßnahmen hinaus zu implementieren, um sich gegen diese aufkommende Umgehungstechnik zu verteidigen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Neue Angriffsmethode: EDR-Freeze setzt Sicherheitssoftware außer Gefecht" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Neue Angriffsmethode: EDR-Freeze setzt Sicherheitssoftware außer Gefecht" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Neue Angriffsmethode: EDR-Freeze setzt Sicherheitssoftware außer Gefecht« bei Google Deutschland suchen, bei Bing oder Google News!