Los actores de amenazas est\u00e1n intentando abusar de la herramienta EDRSilencer de c\u00f3digo abierto como parte de los esfuerzos para alterar las soluciones de detecci\u00f3n y respuesta de endpoints (EDR) y ocultar la actividad maliciosa.<\/p>\n
Trend Micro dijo que detect\u00f3 “actores de amenazas que intentaban integrar EDRSilencer en sus ataques, reutiliz\u00e1ndolo como un medio para evadir la detecci\u00f3n”.<\/p>\n
EDRSilenciador<\/a>inspirado en el Bloque de fuego NightHawk<\/a> herramienta de MDSec, est\u00e1 dise\u00f1ada para bloquear el tr\u00e1fico saliente de procesos EDR en ejecuci\u00f3n utilizando la plataforma de filtrado de Windows (PMA<\/a>).<\/p>\n Admite la finalizaci\u00f3n de varios procesos relacionados con productos EDR de Microsoft, Elastic, Trellix, Qualys, SentinelOne, Cybereason, Broadcom Carbon Black, Tanium, Palo Alto Networks, Fortinet, Cisco, ESET, HarfangLab y Trend Micro.<\/p>\n Al incorporar estas herramientas leg\u00edtimas de red teaming a su arsenal, el objetivo es hacer que el software EDR sea ineficaz y hacer que sea mucho m\u00e1s dif\u00edcil identificar y eliminar malware.<\/p>\n “WFP es un potente marco integrado en Windows para crear aplicaciones de seguridad y filtrado de red”, investigadores de Trend Micro dicho<\/a>. “Proporciona API para que los desarrolladores definan reglas personalizadas para monitorear, bloquear o modificar el tr\u00e1fico de red seg\u00fan varios criterios, como direcciones IP, puertos, protocolos y aplicaciones”.<\/p>\n “El PMA se utiliza en firewalls, software antivirus y otras soluciones de seguridad para proteger sistemas y redes”.<\/p>\n EDRSilencer aprovecha WFP al identificar din\u00e1micamente los procesos EDR en ejecuci\u00f3n y crear filtros persistentes de WFP para bloquear sus comunicaciones de red salientes tanto en IPv4 como en IPv6, evitando as\u00ed que el software de seguridad env\u00ede telemetr\u00eda a sus consolas de administraci\u00f3n.<\/p>\n B\u00e1sicamente, el ataque funciona escaneando el sistema para recopilar una lista de procesos en ejecuci\u00f3n asociados con productos EDR comunes, seguido de ejecutar EDRSilencer con el argumento “blockedr” (por ejemplo, EDRSilencer.exe bloqueado) para inhibir el tr\u00e1fico saliente de esos procesos mediante la configuraci\u00f3n de filtros WFP. .<\/p>\n “Esto permite que el malware u otras actividades maliciosas pasen desapercibidas, aumentando el potencial de ataques exitosos sin detecci\u00f3n ni intervenci\u00f3n”, dijeron los investigadores. “Esto pone de relieve la tendencia actual de los actores de amenazas a buscar herramientas m\u00e1s efectivas para sus ataques, especialmente aquellas dise\u00f1adas para desactivar las soluciones antivirus y EDR”.<\/p>\n El desarrollo se produce cuando el uso por parte de los grupos de ransomware de formidables herramientas para eliminar EDR como AuKill (tambi\u00e9n conocido como AvNeutralizer), EDRKillShifter, TrueSightKiller, GhostDriver y Terminator est\u00e1 en aumento, con estos programas armando a controladores vulnerables para escalar privilegios y finalizar procesos relacionados con la seguridad.<\/p>\n “EDRKillShifter mejora los mecanismos de persistencia mediante el empleo de t\u00e9cnicas que garantizan su presencia continua dentro del sistema, incluso despu\u00e9s de que se descubren y limpian los compromisos iniciales”, Trend Micro dicho<\/a> en un an\u00e1lisis reciente.<\/p>\n “Interrumpe din\u00e1micamente los procesos de seguridad en tiempo real y adapta sus m\u00e9todos a medida que evolucionan las capacidades de detecci\u00f3n, manteni\u00e9ndose un paso por delante de las herramientas EDR tradicionales”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/10\/Los-piratas-informaticos-abusan-de-la-herramienta-EDRSilencer-para-eludir.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n