EDR-Freeze — Kỹ thuật dừng cơ chế giám sát EDR trên Windows

Giới thiệu ý chính

Repository EDR-Freeze của TwoSevenOneT trình bày một phương pháp lợi dụng Windows API NtSuspendProcess để tạm dừng (freeze) tiến trình của Endpoint Detection & Response (EDR) hoặc các công cụ bảo mật, nhằm vô hiệu hóa giám sát trong một khoảng thời gian. Đây là một kỹ thuật minh họa cho nghiên cứu bảo mật, nhấn mạnh nguy cơ nếu attacker có quyền đủ cao trên hệ thống.

Tóm tắt nhanh

EDR-Freeze là một PoC (Proof of Concept) sử dụng NtSuspendProcess để tạm ngưng hoạt động của EDR hoặc AV agent trong tiến trình. Cách tiếp cận này không xóa tiến trình, không patch binary, mà chỉ dừng scheduling thread trong tiến trình đó, khiến EDR không còn khả năng phát hiện trong khoảng thời gian bị treo.

Phân tích chi tiết

1) Ý tưởng kỹ thuật

• NtSuspendProcess: Đây là API undocumented trong ntdll.dll. Khi được gọi, nó sẽ suspend tất cả threads trong một process.
• Tác động: Quá trình bị suspend sẽ không thể thực thi thêm, tức là EDR agent sẽ bị “đóng băng”. Tuy nhiên, tiến trình vẫn còn tồn tại trong Task Manager.
• Kịch bản: Attacker có thể gọi API này trên tiến trình EDR, sau đó thực hiện hành vi độc hại khác (tiêm mã, trích xuất dữ liệu, privilege escalation…) trong khoảng thời gian hệ thống không được giám sát.

2) Thành phần mã nguồn

Repo chứa mã nguồn C++ minh họa cách:

• Mở handle tới tiến trình mục tiêu bằng OpenProcess.
• Resolve hàm NtSuspendProcess từ ntdll.dll qua GetProcAddress.
• Gọi NtSuspendProcess trên handle của tiến trình.
• Tùy chọn có thể gọi NtResumeProcess để khôi phục lại hoạt động.

3) Bản chất PoC

• Repo được gắn nhãn research/educational only.
• Chỉ hoạt động nếu user có quyền đủ cao (administrator hoặc SYSTEM) để mở handle vào tiến trình EDR.
• Không phải bypass toàn diện: chỉ tạm thời dừng giám sát. Một số EDR hiện đại có watchdog service hoặc kernel driver, sẽ phát hiện tiến trình chính bị suspend và tự khởi động lại.

4) Chỉ báo & hành vi có thể phát hiện

Các chỉ báo (IoA/IoC) mà defender có thể theo dõi:

• API call đến NtSuspendProcess hoặc NtResumeProcess từ tiến trình không mong đợi.
• Hành vi OpenProcess với quyền cao nhắm tới tiến trình EDR/AV.
• Tiến trình EDR/AV đột ngột ngừng log hoặc ngừng phản hồi trong một khoảng thời gian bất thường.
• Event log liên quan đến lỗi health check từ service giám sát.

5) Tác động & rủi ro

• Rủi ro cao trong môi trường chưa có watchdog bảo vệ.
• Nếu attacker có quyền cao, họ có thể làm tê liệt EDR agent đủ lâu để triển khai payload.
• Giới hạn: kỹ thuật này không xóa dấu vết, và trong nhiều hệ thống hiện đại watchdog/kernel-mode driver sẽ tự khôi phục hoặc alert ngay khi EDR bị dừng.

6) Biện pháp giảm thiểu

Một số cách phòng thủ:

1. Driver-based protection: Watchdog trong kernel, không thể bị suspend từ user mode.
2. Process protection: Cấm tiến trình bên ngoài gọi OpenProcess/NtSuspendProcess với EDR process.
3. Alerting: SIEM/EDR nên cảnh báo khi thread của EDR bị suspend bất thường.
4. Least privilege: Giới hạn quyền user; kỹ thuật này cần quyền admin cao.

Bảng tóm tắt kỹ thuật

SEO: Tối ưu từ khóa & meta description

• Từ khóa chính: “EDR Freeze”, “NtSuspendProcess”, “bypass EDR”, “dừng EDR”, “EDR evasion”.
• Meta description: “Phân tích EDR-Freeze — PoC sử dụng NtSuspendProcess để dừng tiến trình EDR. Đánh giá rủi ro, kỹ thuật, chỉ báo và biện pháp phòng thủ cho hệ thống Windows.”

Source link: TwoSevenOneT/EDR-Freeze