محقق امنیتی روشی جدید به نام EDR-Freeze ارائه داده که می‌تواند ابزارهای امنیتی مانند سیستم‌های تشخیص و پاسخ نقطه پایانی (EDR) و آنتی‌ویروس‌ها را در ویندوز به حالت تعلیق درآورد. این تکنیک از سیستم گزارش خطای ویندوز (WER) و API به نام MiniDumpWriteDump استفاده می‌کند تا بدون نیاز به درایور آسیب‌پذیر، فرآیندهای امنیتی را به طور نامحدود متوقف کند. برخلاف روش‌های سنتی که نیاز به “آوردن درایور آسیب‌پذیر خود” (BYOVD) دارند، این روش کاملاً از حالت کاربر عمل می‌کند و از اجزای مشروع ویندوز استفاده می‌کند.
این حمله با استفاده از WerFaultSecure که با امتیازات Protected Process Light (PPL) اجرا می‌شود، عمل می‌کند. محقق توضیح می‌دهد که این روش یک حمله شرایط مسابقه (race condition) است که در چهار مرحله انجام می‌شود و موفقیت آن روی ویندوز ۱۱ نسخه 24H2 در متوقف کردن Windows Defender تست شده است. این تکنیک بیشتر یک ضعف طراحی محسوب می‌شود تا آسیب‌پذیری، و دفاع در برابر آن از طریق نظارت بر فرآیندهای حساس و محدود کردن پارامترهای WER امکان‌پذیر است.
کلمات کلیدی : EDR-Freeze, سیستم تشخیص نقطه پایانی, آنتی‌ویروس ویندوز, WER سیستم گزارش خطا, MiniDumpWriteDump API, Windows Defender امنیت
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.