Kỹ thuật né EDR giúp tiêm mã ẩn trong cấu trúc khởi tạo tiến trình
"The article describes a process parameter-poisoning technique that enables process injection to evade EDR detection by modifying process initialization structures instead of calling the Windows APIs commonly monitored by security tools. The impact is stealthier code injection and reduced visibility for endpoint defenses; no CVE or vendor-specific fix is mentioned in the provided content."
Tăng nguy cơ né phát hiện EDR, làm giảm khả năng quan sát hành vi tiêm mã và có thể hỗ trợ tấn công ẩn mình trên endpoint.
Có thể làm tăng chi phí giám sát và điều tra, đồng thời gây rủi ro gián đoạn nếu mã độc vượt qua lớp phòng thủ đầu cuối.
Một kỹ thuật process parameter poisoning được mô tả là có thể giúp process injection vượt qua một số cơ chế phát hiện của EDR. Thay vì gọi các Windows APIs thường bị giám sát, phương pháp này can thiệp vào cấu trúc khởi tạo tiến trình để chèn mã theo cách khó quan sát hơn.
Điểm đáng chú ý là kỹ thuật này làm giảm khả năng hiển thị của hoạt động tiêm mã đối với các công cụ bảo vệ đầu cuối, từ đó có thể khiến việc phát hiện và điều tra trở nên khó khăn hơn. Nội dung được cung cấp không nêu CVE, không đề cập bản vá hay khuyến nghị từ một nhà cung cấp cụ thể.
Với đội ngũ vận hành an ninh, nên rà soát các quy tắc phát hiện liên quan đến process creation, memory manipulation và các dấu hiệu bất thường trong process initialization structures. Đồng thời, cần kết hợp telemetry từ endpoint, giám sát hành vi tiến trình và kiểm tra các chuỗi tấn công có thể bỏ qua lớp giám sát API truyền thống.