Инъекция кода в процессы по методу Pool Party обманет любую EDR-систему

Инъекция кода в процессы по методу Pool Party обманет любую EDR-систему

Инъекция кода в процессы по методу Pool Party обманет любую EDR-систему

Эксперты SafeBreach разработали метод внедрения кода в память процессов, использующий пулы потоков Windows для сокрытия его исполнения. Тестирование показало, что атаку Pool Party не способны выявить даже лидеры рынка EDR-решений.

Инъекция кода в процессы позволяет злоумышленникам обойти антивирусы: такие заражения не оставляют в системе следов в виде файлов, которые можно было бы проанализировать. В последние годы многие вендоры ОС и EDR усилили защиту от подобных атак за счет блокировки известных техник либо жесткого ограничения последствий.

Чтобы понять, каким образом бестелесный зловред сможет обойти EDR, исследователям пришлось изучить современный подход к детектированию таких угроз ИБ-продуктами этого класса. Как оказалось, они производят оценку по примитиву выполнения — лишь одному элементарному действию из трех, необходимых для инъекции в процесс (еще выделение блока памяти и запись туда кода).

 

Это открытие подсказало экспертам, как скрыть бесфайлового зловреда от EDR: создать примитив выполнения, основанный лишь на allocate и write, а в качестве триггера шелл-кода использовать легитимное действие — например, запись в безобидный файл.

Прекрасным кандидатом для такого трюка оказался пул потоков режима пользователя в Windows, а точнее, четыре компонента: фабрика рабочих ролей, управляющая рабочими потоками, и три очереди.

По результатам исследования были созданы восемь разных техник инъекции кода; одна использует подпрограмму запуска фабрики ролей, другая — очередь задач, еще пять — очередь завершения ввода-вывода, а восьмая — очередь таймера. Поскольку пул потоков совместно используется процессами Windows, метод Pool Party работает на любом из них.

Для тестирования были выбраны пять EDR-решений:

  • Palo Alto Cortex,
  • SentinelOne EDR,
  • CrowdStrike Falcon,
  • Microsoft Defender for Endpoint,
  • Cybereason EDR.

Во всех случаях эффективность Pool Party (всех восьми вариантов) составила 100%, то есть ни один защитный продукт не смог обнаружить или предотвратить инъекцию. Вендоры уже поставлены в известность.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Microsoft отрицает связь обновления Windows 11 с поломкой SSD и HDD

После сообщений пользователей о сбоях SSD и HDD в августе Microsoft провела проверку и заявила: никаких доказательств связи проблемы с обновлением KB5063878 для Windows 11 24H2 нет.

На прошлой неделе в Сети появились жалобы, в основном из Японии: диски начинали «умирать» при интенсивной записи больших файлов, особенно если они были заполнены более чем на 60%.

В числе пострадавших назывались модели Corsair, SanDisk, Kioxia и накопители на контроллерах InnoGrit и Phison.

Некоторым помогала простая перезагрузка, но часть устройств оставалась недоступной. Из-за шума вокруг ситуации Microsoft запросила подробные отчёты у пользователей и вместе с производителями контроллеров попыталась воспроизвести проблему.

Однако, по словам компании, телеметрия и внутренние тесты не показали роста отказов или повреждений файлов после установки обновления.

При этом в Phison подтвердили, что ведут расследование совместно с Microsoft и другими партнёрами. Пока же пользователям Windows 11 советуют быть осторожнее: если диск загружен более чем на 60%, лучше не копировать и не записывать на него десятки гигабайт данных за раз.

Microsoft подчёркивает, что продолжит следить за отзывами и расследовать новые жалобы, если они появятся.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru