Edr-Evasion

บริษัท Flashpoint เผยแพร่งานวิจัยเกี่ยวกับ process parameter poisoning เทคนิคหลบเลี่ยง EDR บน Windows ที่ inject โค้ดเข้าไปในโครงสร้างเริ่มต้นของโปรเซสโดยไม่ใช้ Windows API ที่ EDR มักจับตา นักวิจัยพบว่าเมื่อนำเทคนิคนี้มารวมกับ DLL unhooking และการบล็อก DLL ที่ไม่ใช่ของ Microsoft จะทำให้เครื่องมือ EDR และ XDR ตรวจจับไม่ได้เลย แม้ยังไม่พบการใช้ในมัลแวร์จริง แต่ก็ไม่มีอะไรขวางผู้ก่อภัยไม่ให้นำไปใช้ Flashpoint แนะนำให้เฝ้าระวังพฤติกรรมของโปรเซสแทนการพึ่ง API call เพียงอย่างเดียว

นักวิจัยจากบริษัท Check Point เปิดเผยเทคนิคที่ใช้ไดรเวอร์ BTR.sys ของ Microsoft Defender เอง ซึ่งมีลายเซ็นถูกต้องและเป็นคอมโพเนนต์บังคับของวินโดวส์ มาสั่งลบไฟล์และคีย์รีจิสทรีระดับเคอร์เนลได้ตามอำเภอใจ ตั้งแต่ Windows 7 ถึง Windows 11 25H2 โดยไม่ต้องอาศัยช่องโหว่ใด การสาธิตบนเวที Black Hat ลบชุด Defender ออกจากเครื่องที่เปิด Tamper Protection ได้ทั้งหมด เงื่อนไขคือผู้โจมตีต้องมีสิทธิ์ผู้ดูแลระบบพร้อม SeLoadDriverPrivilege อยู่ก่อน ไมโครซอฟท์ระบุว่ายังไม่เข้าเกณฑ์ต้องแก้ไขทันที

KittySploit เฟรมเวิร์กทดสอบเจาะระบบโอเพนซอร์สตัวใหม่ ผสานโค้ด Python กับ Zig และ AI agent อัตโนมัติ มาพร้อมโมดูลกว่า 1,150 ตัว จุดต่างสำคัญคือเชื่อมกับโมเดลภาษาขนาดใหญ่ที่รันในเครื่องผ่าน Ollama ทำให้ AI วางแผนเส้นทางโจมตีเองได้เพียงป้อนชื่อเป้าหมาย เพย์โหลดคอมไพล์ด้วย Zig เป็น polymorphic encoder หลบ EDR และ WAF และมี KittyProxy ที่ค้นหา API อัตโนมัติแล้วยิงโมดูลจากทราฟฟิกที่เห็นทันที เครื่องมือทรงพลังแบบนี้เป็นดาบสองคมที่ผู้ไม่หวังดีนำไปใช้ได้เช่นกัน

บริษัท Sophos เปิดเผยว่าผู้โจมตีใช้เครื่องมือที่ AI ช่วยสร้าง อัตโนมัติการค้นหา Active Directory และทดสอบเทคนิคหลบ EDR สะท้อนการเติบโตของเฟรมเวิร์ก post-exploitation ที่ขับเคลื่อนด้วย AI ชุดเครื่องมือมีทั้ง Cobalt Strike profile ปลอมทราฟฟิกเว็บ, C2 ผ่าน Telegram bot, สคริปต์ Python inject shellcode และ Cloudflare Worker บัง backend สคริปต์ส่วนใหญ่เขียนเป็นภาษารัสเซีย ทดสอบกับ Sophos, CrowdStrike, Microsoft Defender ผ่าน Ludus lab โดยมี AI agent หลักที่ใช้ Claude Opus จัดการ orchestration

Unit 42 เปิดเผยแคมเปญจารกรรมไซเบอร์ของกลุ่ม Screening Serpens (UNC1549/Smoke Sandstorm) ที่เพิ่มความซับซ้อนด้วยเทคนิค AppDomainManager Hijacking เพื่อหลบเลี่ยง EDR โดยรันโค้ดอันตรายก่อนที่แอปพลิเคชัน .NET จะโหลดเสร็จ กลุ่มนี้พัฒนา RAT ใหม่ 6 ตัวระหว่างกุมภาพันธ์ถึงเมษายน 2569 มุ่งเป้าองค์กรด้านอวกาศ การป้องกันประเทศ และโทรคมนาคมในสหรัฐฯ อิสราเอล และสหรัฐอาหรับเอมิเรตส์ โดยใช้ fake job listing และคำเชิญประชุมปลอมเป็นเหยื่อล่อ