SecTor 2025 | EDR Bypass Testing: A Systematic Approach to Validating Endpoint Defenses
三句話摘要
MDR 供應商如何系統性地枚舉 EDR 攻擊面，並以低成本手法繞過主流 EDR 產品的內核保護機制。 EDR 已是攻擊者的直接攻擊目標，防守方必須假設 EDR 終將被繞過，並以冗餘偵測與快速回應來補位，而非依賴 EDR 作為單一防線。 EDR 攻擊面的轉變：攻擊者在成功入侵後，不再只逃避 EDR 偵測，而是主動「打掉」EDR 的內核驅動，因為內核回調是 EDR 感知系統的核心機制，殺掉內核組件等同癱瘓整個防禦能力。
重點整理
重點- 1
EDR 攻擊面的轉變：攻擊者在成功入侵後，不再只逃避 EDR 偵測，而是主動「打掉」EDR 的內核驅動，因為內核回調是 EDR 感知系統的核心機制，殺掉內核組件等同癱瘓整個防禦能力。
- 2
Surveyor 的「點球成金」策略：與其花費大量資源逆向工程內核漏洞，Surveyor 透過枚舉內核回調註冊表、ETW 會話映射、PPL 保護狀態等 13 個維度，識別各 EDR 產品的監控盲區，從而選擇成本最低、成功率最高的攻擊路徑。
- 3
啟動流程是最有效的繞過時機：在 Windows 啟動期間、EDR 內核驅動加載前執行操作（透過 Boot Execute 注冊表鍵、WDAC 策略文件、或服務 Start 值修改），可讓防篡改機制完全失效，且對大多數主流 EDR 有效。
- 4
安全模式啟動攻擊普遍有效：將系統啟動進安全模式會讓所有第三方內核驅動停止加載，現有 EDR 的阻擋機制存在缺陷——直接編輯 BCD 注冊表鍵可繞過所有測試過的 EDR 產品。
實用技巧與重點
乾貨- 工具名稱：Surveyor（Rust 用戶態組件 + C 內核組件），已開源於 GitHub
- 收集維度：13 個類別，包含進程遙測、驅動枚舉、內核回調、ETW 會話、網絡連接、注冊表、AMSI 提供者、服務枚舉、PPL 狀態
- BYOVD 原理：找有合法簽名但含漏洞的第三方驅動，利用漏洞關閉 DSE（驅動簽名強制）標誌，再加載未簽名惡意驅動
- LOLDrivers：濫用合法簽名驅動的既有功能（如任意終止進程），無需漏洞利用
- 防禦技術：HVCI（硬件虛擬化代碼完整性）+ WDAC 驅動封鎖規則 + 安全啟動，但現場調查顯示幾乎無組織實際部署
- Boot Execute 繞過：在 `HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\BootExecute` 添加原生 API 二進制，啟動時刪除 EDR 驅動文件
- WDAC 策略濫用：攻擊者可創建 WDAC 內核策略，設定阻擋 EDR 驅動加載，放入 Windows 目錄，重啟生效
- 服務注冊表 Save/Restore 技巧：用 `RegSaveKey` + `RegRestoreKey` 繞過 EDR 對注冊表的直接保護，部分 EDR 對此有盲區
- 安全模式繞過工具：BCDEdit、MSConfig、PowerShell cmdlet，或直接編輯 BCD 注冊表鍵（`HKLM\BCD00000000`），後者可繞過所有受測 EDR
- 微型過濾器高度碰撞攻擊（去年發布）：透過注冊表修改微型過濾器高度值，觸發碰撞禁用 EDR
- 進程信任級別（未文檔化 Windows 功能）：某主流 EDR 利用此功能保護注冊表鍵，使非 PPL 進程無法修改
結論
結論“EDR 已是攻擊者的直接攻擊目標，防守方必須假設 EDR 終將被繞過，並以冗餘偵測與快速回應來補位，而非依賴 EDR 作為單一防線。”
完整解析
詳細約十年前，Eentire 的安全團隊開始大量使用 EDR，並意識到相比傳統網絡監控，端點遙測數據在事件重建與即時控制方面具有壓倒性優勢。隨著 EDR 的普及，攻擊者也開始學習繞過它——不再只是在初始感染階段規避偵測，而是在取得本地管理員權限後，主動將 EDR 的內核驅動「殺死」，因為內核組件承載著防篡改保護與內核回調這兩個 EDR 的核心能力。
市面上主流的 EDR 殺手通常採用 BYOVD（帶入易受攻擊的合法驅動）或 LOLDrivers（濫用合法驅動功能）兩種路徑，兩者都需要深入的驅動逆向工程，相當於需要「昂貴的全明星球員」。Eentire 的研究目標，正如電影《點球成金》的精神，是找到不需要複雜內核漏洞、成本更低但同樣有效的繞過路徑。為此，Ryan 開發了一個名為 Surveyor 的偵察工具，透過收集 13 個維度的系統遙測數據——包括所有已加載內核驅動的地址、EDR 註冊的內核回調類型、正在消費的 ETW 會話、PPL 保護狀態、AMSI 提供者、網絡連接映射——來精確描繪特定 EDR 產品的監控盲區，從而指引研究人員選擇最有可能成功的攻擊向量。
在具體繞過技術方面，研究團隊識別出幾類不需要內核漏洞的有效手法。啟動前執行繞過：在 Windows 啟動序列中，EDR 內核驅動尚未加載前，透過 `BootExecute` 注冊表鍵執行一個原生 API 二進制程序，在啟動過程中直接刪除 EDR 驅動文件。WDAC 策略濫用：攻擊者可自行創建 WDAC 內核策略，將 EDR 驅動列入封鎖清單，下次啟動後驅動即無法加載，且對多數主流 EDR 有效。注冊表 Save/Restore 技巧：利用 `RegSaveKey`/`RegRestoreKey` 操作，先將目標注冊表鍵保存為 hive 文件，在臨時路徑修改（EDR 驅動不監控此路徑），再 Restore 回原路徑，可繞過部分 EDR 的注冊表保護。最廣泛的手法則是安全模式啟動攻擊：安全模式下第三方內核驅動完全不加載，等同解除所有 EDR 防篡改機制。雖然部分 EDR 與微軟的 ASR 規則嘗試阻擋 BCDEdit，但實測發現直接編輯 `HKLM\BCD00000000` 注冊表鍵可繞過所有受測產品，若再不行還可直接編輯系統分區上的 BCD hive 文件。
研究結論是，EDR 繞過已是真實入侵事件中的常見手法，攻擊面龐大且幾乎每款產品都有對應的弱點。供應商必須加快跟上這場軍備競賽，但從防禦角度而言，EDR 的定位本質上是「爭取時間」而非「完全預防」——縮短攻擊者找到繞過手法所需的時間，同時建立冗餘監控機制（網絡、日誌、多代理並行），才是應對 EDR 失效的正確心態。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
