Um novo método e ferramenta de prova de conceito chamada EDR-Freeze demonstra que evadir soluções de segurança é possível do modo usuário com o sistema Windows Error Reporting (WER) da Microsoft. A técnica elimina a necessidade de um driver vulnerável e coloca agentes de segurança como ferramentas de detecção e resposta de endpoint (EDR) em um estado de hibernação.
Usando o framework WER junto com a API MiniDumpWriteDump, o pesquisador de segurança TwoSevenOneThree (Zero Salarium) encontrou uma forma de suspender indefinidamente a atividade de processos EDR e antivírus. Esta é uma descoberta significativa porque demonstra como componentes legítimos do Windows podem ser explorados para contornar medidas de segurança.
Métodos existentes de desabilitação de EDR operam baseados na técnica “Bring Your Own Vulnerable Driver” (BYOVD), onde atacantes pegam um driver de kernel legítimo mas vulnerável e o exploram para escalação de privilégios. Principais desvantagens nos ataques BYOVD incluem a necessidade de contrabandear o driver para o sistema alvo, contornar proteções de execução e limpar artefatos de nível kernel que poderiam expor a operação.
Como o EDR-Freeze Funciona
O EDR-Freeze é descrito como um método muito mais furtivo que não requer driver de kernel, funciona inteiramente do modo usuário e aproveita componentes legítimos do Windows que estão presentes por padrão no sistema operacional. WerFaultSecure é um componente do Windows Error Reporting que executa com privilégios Protected Process Light (PPL), projetado para coletar dumps de crash de processos sensíveis do sistema para fins de depuração e diagnóstico.
MiniDumpWriteDump é uma API na biblioteca DbgHelp que gera um snapshot (“minidump”) da memória e estado de um processo. Ao fazer isso, suspende todos os threads do processo alvo e os retoma após completar o trabalho. O EDR-Freeze aproveita o WerFaultSecure para acionar MiniDumpWriteDump, que suspende temporariamente todos os threads no processo alvo enquanto o dump é escrito.
Durante este processo, o atacante suspende o processo WerFaultSecure em si, então o dumper nunca retoma o alvo, deixando o processo AV em um estado de “coma”. O pesquisador descreve isso como um ataque de condição de corrida que pode ser reproduzido em quatro etapas: gerar WerFaultSecure como PPL, passar argumentos para WerFaultSecure para que ele chame MiniDumpWriteDump no PID alvo, sondar o alvo até que ele se torne suspenso pela operação de dump, e imediatamente abrir WerFaultSecure (PROCESS_SUSPEND_RESUME) e chamar NtSuspendProcess para congelar o dumper.
O Impacto e as Implicações
O pesquisador também publicou uma ferramenta que executa essas ações e testou no Windows 11 24H2, congelando com sucesso o processo Windows Defender. Este ataque encadeia o comportamento pretendido de ambos MiniDumpWriteDump e WerFaultSecure, então isso é mais uma fraqueza de design do que uma vulnerabilidade no Windows.
Defender contra EDR-Freeze é possível monitorando se o WER aponta para o identificador de um processo sensível como LSASS ou ferramentas de segurança. Para este propósito, o pesquisador de segurança Steven Lim desenvolveu uma ferramenta que mapeia WerFaultSecure para processos Microsoft Defender Endpoint.
Ainda assim, a Microsoft poderia tomar medidas para endurecer esses componentes do Windows contra abuso, como bloquear invocação suspeita, permitir apenas para certos PIDs, ou restringir os parâmetros possíveis. O BleepingComputer entrou em contato com a Microsoft para um comentário sobre como defender contra tal técnica e atualizaremos este post assim que ouvirmos de volta.
A Resposta da Microsoft
Atualização 9/26 – Um porta-voz da Microsoft enviou ao BleepingComputer o seguinte comentário: “Clientes usando Microsoft Defender não são impactados por esta ferramenta, e qualquer tentativa será detectada e bloqueada antes da execução. Continuamos a avaliar e endurecer o Windows contra esta e outras técnicas de ataque potenciais.” – um porta-voz da Microsoft
Esta resposta da Microsoft é interessante porque sugere que eles já têm proteções em vigor contra esta técnica específica. No entanto, também destaca a importância de manter sistemas atualizados e usar soluções de segurança robustas que podem detectar e bloquear tentativas de exploração.
Para organizações, este ataque serve como um lembrete importante da importância de monitoramento contínuo e detecção de ameaças avançada. O fato de que uma técnica relativamente simples pode ser usada para contornar medidas de segurança tradicionais destaca a necessidade de uma abordagem de segurança em camadas.
O EDR-Freeze também destaca a importância de entender como os componentes do sistema operacional funcionam e como eles podem ser explorados. Para pesquisadores de segurança, esta descoberta representa uma oportunidade de desenvolver novas técnicas de detecção e prevenção que podem ser mais eficazes contra ataques similares.
Lições para o Futuro
Este ataque destaca várias tendências importantes na segurança cibernética moderna. Primeiro, demonstra que os atacantes estão encontrando formas cada vez mais criativas de contornar medidas de segurança tradicionais. Segundo, mostra como componentes legítimos do sistema operacional podem ser explorados para fins maliciosos.
Para organizações, a lição é clara: não é suficiente confiar em uma única solução de segurança. É necessário implementar uma abordagem de segurança em camadas que inclua monitoramento contínuo, detecção de ameaças avançada e resposta a incidentes. Também é importante manter sistemas atualizados e usar soluções de segurança que podem detectar e bloquear tentativas de exploração.
Para pesquisadores de segurança, este ataque representa uma oportunidade de desenvolver novas técnicas de detecção e prevenção. Ao entender como os atacantes estão explorando componentes legítimos do sistema operacional, os pesquisadores podem desenvolver contramedidas mais eficazes.
O EDR-Freeze é um lembrete de que a segurança cibernética é um campo em constante evolução, onde atacantes e defensores estão continuamente desenvolvendo novas técnicas e contramedidas. É crucial que organizações e pesquisadores permaneçam vigilantes e continuem a desenvolver novas formas de proteger sistemas e dados.
