Инъекция кода в процессы по методу Pool Party обманет любую EDR-систему

Инъекция кода в процессы по методу Pool Party обманет любую EDR-систему

Инъекция кода в процессы по методу Pool Party обманет любую EDR-систему

Эксперты SafeBreach разработали метод внедрения кода в память процессов, использующий пулы потоков Windows для сокрытия его исполнения. Тестирование показало, что атаку Pool Party не способны выявить даже лидеры рынка EDR-решений.

Инъекция кода в процессы позволяет злоумышленникам обойти антивирусы: такие заражения не оставляют в системе следов в виде файлов, которые можно было бы проанализировать. В последние годы многие вендоры ОС и EDR усилили защиту от подобных атак за счет блокировки известных техник либо жесткого ограничения последствий.

Чтобы понять, каким образом бестелесный зловред сможет обойти EDR, исследователям пришлось изучить современный подход к детектированию таких угроз ИБ-продуктами этого класса. Как оказалось, они производят оценку по примитиву выполнения — лишь одному элементарному действию из трех, необходимых для инъекции в процесс (еще выделение блока памяти и запись туда кода).

 

Это открытие подсказало экспертам, как скрыть бесфайлового зловреда от EDR: создать примитив выполнения, основанный лишь на allocate и write, а в качестве триггера шелл-кода использовать легитимное действие — например, запись в безобидный файл.

Прекрасным кандидатом для такого трюка оказался пул потоков режима пользователя в Windows, а точнее, четыре компонента: фабрика рабочих ролей, управляющая рабочими потоками, и три очереди.

По результатам исследования были созданы восемь разных техник инъекции кода; одна использует подпрограмму запуска фабрики ролей, другая — очередь задач, еще пять — очередь завершения ввода-вывода, а восьмая — очередь таймера. Поскольку пул потоков совместно используется процессами Windows, метод Pool Party работает на любом из них.

Для тестирования были выбраны пять EDR-решений:

  • Palo Alto Cortex,
  • SentinelOne EDR,
  • CrowdStrike Falcon,
  • Microsoft Defender for Endpoint,
  • Cybereason EDR.

Во всех случаях эффективность Pool Party (всех восьми вариантов) составила 100%, то есть ни один защитный продукт не смог обнаружить или предотвратить инъекцию. Вендоры уже поставлены в известность.

МойОфис начал массовые сокращения на фоне финансовых трудностей

У разработчика офисного ПО «МойОфис» начались массовые сокращения. О предстоящем увольнении сотрудников будут уведомлять по электронной почте в течение ближайших двух недель. При этом в компании обещают соблюсти требования трудового законодательства, а часть специалистов готовы рассматривать на вакансии основного владельца бизнеса — «Лаборатории Касперского».

О ситуации сообщил CNews, сославшись на внутреннее письмо гендиректора компании Вячеслава Закоржевского, которое, как утверждается, было разослано сотрудникам 23 марта 2026 года.

Судя по содержанию письма, в 2025 году «МойОфис» столкнулся с серьёзными финансовыми трудностями. Несмотря на предпринятые усилия, объём ключевых направлений бизнеса сократился, а текущая модель работы, как следует из документа, требует серьёзной перестройки, чтобы компания смогла сохранить устойчивость.

Дополнительный резонанс ситуации добавили слова одного из акционеров, Дмитрия Комиссарова. По его словам, решение о сокращениях принимала «Лаборатория Касперского», которая владеет контрольной долей в компании. При этом, как утверждает Комиссаров, миноритарных акционеров не уведомили ни о результатах 2025 года, ни о планируемой реструктуризации, ни о планах на 2026-й.

Напомним, ранее «Лаборатория Касперского» прокомментировала слухи о возможной продаже разработчика офисного ПО «МойОфис» и дала понять: никакой сделки на горизонте сейчас нет.

Финансовая картина у компании и правда остаётся тяжёлой. По итогам 2024 года «МойОфис» показал чистый убыток в 1,2 млрд рублей. Для сравнения: в 2023 году убыток был ещё выше — 5 млрд рублей. Отчётность за 2025 год пока не опубликована.

И это особенно заметно на фоне общего состояния рынка. Российский рынок программного обеспечения, наоборот, продолжает расти: по итогам 2025 года его объём, по приведённым данным, достиг 808 млрд рублей, прибавив 21% год к году. Росту помогли уход иностранных вендоров, активное импортозамещение и налоговые льготы для отрасли.

В самой компании подчёркивают, что речь идёт именно о реструктуризации. После неё, как заявили представители «МоегоОфиса», будут трансформированы отдельные внутренние функции и подразделения. При этом разработчик продолжает работать в обычном режиме и выполнять обязательства перед клиентами и партнёрами.

RSS: Новости на портале Anti-Malware.ru