Hatena Blog Tags
はてなブログ トップ
EDR回避
このタグでブログを書く
言葉の解説
ネットで話題
関連ブログ

EDR回避

このタグの解説についてこの解説文は、すでに終了したサービス「はてなキーワード」内で有志のユーザーが作成・編集した内容に基づいています。その正確性や網羅性をはてなが保証するものではありません。問題のある記述を発見した場合には、お問い合わせフォームよりご連絡ください。
Slapdash Safeguards•25日前

ESETの公開した90種類以上のEDR Killerを調査した記事を読んで思ったこと

攻撃で使われたEDR Killerは90種類以上もあると。 その中の54種類はBYOVDベースっていうことなので、EDRにとってやはり脆弱なカーネルドライバが天敵なのはやっぱりって感じ。 7件はスクリプトベースっていう話だが、スクリプトベースで本当に止められる？ EDRはカーネルレベルまで手を出していて、SYSTEM権限でも停止できないのにスクリプトレベルでKillできるのだろうか。 15件はルートキット対策ソフト等ということなので、本来は悪意のあるソフトではないがOSの根幹に干渉できる系ソフトの悪用ということ。 ここでは、無料で公開されていたりツールの現況が分かるものをピックアップして思った…

#BYOVD攻撃#EDR回避#EDR Killer#EDR Bypass#EDR Evasion

関連ブログ

Slapdash Safeguards•1ヶ月前

特定の文字列がコマンドラインに含まれていると検知回避できてしまっていたPalo Alto Cortex XDR

InfoGuardの研究者により、Palo Alto Cortex XDRの検知ルールの中にグローバルホワイトリストが発見された。 そのリストから、:\\windows\\ccmcache\\がコマンドラインに含まれていると検査の対象から除外されることが発見された。 :\Windows\ccmcache\を何らかの形でファイルパスとか何かに含んでマルウェアを実行すれば、検知されないということなっちゃったと。 そんなこともまぁ、あるのかぁ。 ただし、Agent 9.1 / Content version 2160（2026年2月末）でグローバルホワイトリストが完全に削除された。 labs.inf…

#Palo Alto Networks#Cortex#EDR回避
Slapdash Safeguards•1ヶ月前

EDR Killerの「BlackSanta」のBYOVDを読み解く

単純に目を引く名前のEDR Killerだったので気になった。 www.aryaka.com BYOVD（Bring Your Own Vulnerable Driver）で使用されたドライバ BYOVDは脆弱なカーネルドライバを持ち込んで、読み込ませて使う。 そうして、カーネルレベルで操作を行うことでEDRとかセキュリティ製品の機能を無力化する。 脆弱なドライバは世の中に多数あるが、全部が全部何でもできるわけではない。 達成したい目的に応じて、カーネルレベルでその操作が可能な脆弱なドライバが持ち込まれる。 BlackSantaの場合は、プロセスキル用とファイルハンドル取得用というように2つの…

#BYOVD攻撃#EDR回避#EDRバイパス#EDR
Scarlet Tactics•2ヶ月前

EDRStartupHinder Version 1.0 解説

github.com 概要 攻撃フロー全体像 コア技術：Windows Bind Filter（bindfltapi.dll） Bind Filter とは何か なぜ Bind Filter が EDR 妨害に有効なのか コード上の実装（EDRStartupHinder.cpp 13–18行目） BindLnk.h の型定義と引数の意味 DLL の「改ざん」戦略（CopyAndPatchFile） PE ファイルと Authenticode 署名の構造 なぜ DOS スタブの 1 バイトだけを変更するのか 実装コード（Utils.cpp 35–43行目） CopyAndPatchFile の前…

#EDR#EDR回避#EDRバイパス#エンドポイントセキュリティ
Scarlet Tactics•2ヶ月前

EDR-Freeze v1.0-fbd43cf 解説

github.com 1. ツール概要と攻撃コンセプト 1.1 攻撃の本質 1.2 ファイル構成と役割 2. エントリポイント：wmain() 2.1 SeDebugPrivilegeの有効化 2.2 メインスレッドID取得とFreezeRun呼び出し 3. 権限昇格：EnableDebugPrivilege() 3.1 トークン取得 3.2 LUID取得と特権有効化 3.3 成功確認 4. メインスレッドID取得：GetMainThreadId() 4.1 NtQuerySystemInformationの動的解決 4.2 動的バッファ確保と再試行ループ 4.3 プロセス情報のリンクリスト走…

#EDR#EDRバイパス#EDR回避#エンドポイントセキュリティ
TT Malware Log•2ヶ月前

EDR回避 / EDR Bypass (まとめ)

【EDR回避】■回避手法 ◆ AMSI バイパス (まとめ) https://malware-log.hatenablog.com/entry/AMSI_Bypass ◆APIフック (まとめ) https://malware-log.hatenablog.com/entry/API_Hooks ◆EDR無効化ツール (まとめ) https://malware-log.hatenablog.com/entry/EDR_Disabling_Tool ◆Hell's Gate (まとめ) https://malware-log.hatenablog.com/entry/Hell%27s_Gate …

#EDR回避
TT Malware Log•8ヶ月前

EDRKillShifter (まとめ)

【ニュース】■2024年◇2024年8月 ◆Ransomware gang deploys new malware to kill security software (BleepingComputer, 2024/08/15 14:01) [ランサムウェア集団、セキュリティ対策ソフトを無効化する新たなマルウェアを展開] https://www.bleepingcomputer.com/news/security/ransomware-gang-deploys-new-malware-to-kill-security-software/ ⇒ https://malware-log.hatena…

#EDRKillShifter#マルウェア#EDR回避