9 月 23 日消息,科技媒體 bleepingcomputer 昨日(9 月 22 日)發布博文,報道稱安全研究員 TwoSevenOneThree(Zero Salarium)發布新工具 EDR-Freeze,利用 Windows 錯誤報告(WER)系統,在用戶模式下無限期暫停終端檢測響應(EDR)及殺毒軟件進程。
注:傳統禁用 EDR 常依賴“自帶漏洞驅動”(BYOVD),即攻擊者需要引入合法但存在漏洞的內核驅動來提升權限。這類攻擊需將驅動運送至目標系統、繞過執行保護,并清除內核層痕跡。
相比之下,EDR-Freeze 更隱蔽,無需加載存在漏洞的驅動,直接讓終端檢測與響應(EDR)及殺毒軟件進入“休眠”狀態,完全運行于用戶模式,并調用系統自帶的合法組件。
EDR-Freeze 利用 WerFaultSecure 組件(具有受保護進程輕量級權限)觸發 MiniDumpWriteDump API,生成進程內存快照時會暫停所有線程。
攻擊者在暫停階段凍結 WerFaultSecure,讓其無法恢復目標進程,從而讓安全軟件長時間停擺。該過程屬于可復現的競態條件攻擊,步驟包括調用 WerFaultSecure、傳入目標進程 ID、輪詢等待進程暫停、立即凍結 WerFaultSecure。
研究者已在 Windows 11 24H2 上測試該工具,成功讓 Windows Defender 進入“休眠”狀態。這一鏈式利用結合了 MiniDumpWriteDump 和 WerFaultSecure 的正常功能,更像是設計缺陷而非傳統漏洞。一旦被攻擊者掌握,可能導致防御體系在長時間內失效。


防御措施包括監控 WER 是否指向 LSASS 或安全工具等敏感進程標識符。研究員 Steven Lim 已開發工具映射 WerFaultSecure 至 Microsoft Defender Endpoint 進程。微軟未來可通過限制調用參數、僅允許特定 PID、阻止可疑觸發等方式提升安全性。
本文鏈接:http://www.www897cc.com/showinfo-119-183291-0.htmlWin11 24H2 實測可行:新工具無需加載驅動,可“休眠”微軟 Defender 等殺軟
聲明:本網頁內容旨在傳播知識,若有侵權等問題請及時與本網聯系,我們將在第一時間刪除處理。郵件:2376512515@qq.com