近年來，隨著資訊安全威脅日益嚴峻，端點檢測與回應(EDR)系統已成為企業防禦網絡攻擊的重要工具。然而，最新研究顯示，攻擊者正在利用開源工具EDRSilencer來規避EDR系統的檢測，這對企業的資訊安全帶來了新的挑戰。
EDRSilencer原本是為紅隊測試而設計的工具，但現在被濫用來「沉默」EDR解決方案。它通過利用Windows過濾平台(WFP)來創建自定義規則，監控、阻止和修改網絡流量。研究人員發現，EDRSilencer能夠動態識別正在運行的EDR進程，並創建WFP過濾器來阻止它們的對外網絡通信，從而有效防止EDR向其管理控制台發送遙測數據或警報。
目前，EDRSilencer可以檢測到多種EDR產品的進程，包括Carbon Black EDR、Cybereason、ESET Inspect、SentinelOne、Trellix EDR、Microsoft Defender for Endpoint和Microsoft Defender Antivirus、Tanium、TrendMicro Apex One等。更令人擔憂的是，即使某些進程沒有被硬編碼在工具的列表中，也可以通過額外的規則來阻止。
EDR規避工具的興起並非孤立現象。研究顯示，多個勒索軟件組織正在使用各種工具來破壞EDR系統的功能。例如，FIN7自2023年初以來一直在向多個勒索軟件組織出售AvNeutralizer（又名AuKill）。RansomHub RaaS使用EDRKillShifter，而多個RaaS參與者則利用PoorTry（又名BurntCigar）。Qilin勒索軟件攻擊者使用「Killer Ultra」，該工具利用易受攻擊的Zemana驅動程序來終止EDR和防病毒進程。
這些工具雖然使用的機制可能不同，但目標都是相同的：阻止端點安全解決方案正常運作。更令人擔憂的是，這些EDR規避工具的價格相對較低，起價僅為每月350美元或單次繞過300美元。這種低價使得這些工具對勒索軟件附屬機構和其他威脅行為者（包括技術熟練程度較低的人）來說都非常容易獲得。在高端市場，一些威脅行為者將其EDR繞過產品定價為7,500美元，甚至有將EDR規避功能打包在加密鎖定器中的產品高達10,000美元。
面對這種威脅，組織需要採取積極的防禦措施。趨勢科技的研究人員建議，企業應該採用先進的檢測機制和威脅狩獵策略來對抗EDR殺手工具。此外，Intel471的研究人員最近詳細說明了如何搜尋EDRKillshifter，而ConnectWise Cyber Research則分享了有關保護組織免受基於BYOVD的工具攻擊的建議。
總的來說，EDR規避工具的興起凸顯了網絡安全領域的持續升級。攻擊者不斷開發新的技術來繞過防禦措施，而防禦者則需要不斷更新和改進他們的策略。對於企業來說，僅僅依賴EDR系統已經不夠了，需要採用多層次的安全策略，包括定期更新和補丁、員工安全意識培訓、網絡分段等。同時，安全團隊需要保持警惕，持續監控新出現的威脅，並迅速採取行動來應對這些威脅。只有通過持續的學習、適應和創新，企業才能在這場不斷演變的網絡安全戰中保持領先地位。
詳情請看：
