Flashpoint: zatruwanie parametrów procesu Windows omija narzędzia EDR

Flashpoint opublikował badanie techniki process parameter poisoning, która pozwala wstrzyknąć kod do procesu Windows z pominięciem funkcji systemowych obserwowanych przez narzędzia EDR. Materiał nie wspomina o poprawce. Technikę opisali w lipcu Max Hirschberger i Ogulcan Ugur. Złośliwy kod trafia do standardowych struktur inicjalizacji procesu, bez wywołań VirtualAllocEx(), WriteProcessMemory() czy MapViewOfFile2(). W lipcowych testach czterech niewymienionych z nazwy wiodących EDR wstrzyknięcie udało się za każdym razem i żaden nie zgłosił alarmu, choć wszystkie były skonfigurowane do wykrywania, blokowania i usuwania zagrożeń. Flashpoint zbudował własną implementację techniki w języku Rust, żeby sprawdzić, które mechanizmy wykrywania da się nią obejść.

Kogo dotyczy

Firmy, które chronią komputery z Windows narzędziami EDR. Technika wymaga, żeby atakujący już wykonywał kod w systemie: tworzy wtedy proces pośredniczący i nadużywa parametrów startowych, które Windows automatycznie przekazuje do nowego procesu.