【文章转载】深度揭秘：暗网EDR终结者的黑市交易

EDR规避工具通常以订阅服务的形式出售，起价仅为每月350美元，或者单次绕过售价300美元。这一低价策略使得这些工具对勒索软件附属组织以及其他威胁行为者（包括技术水平较低的群体）极具吸引力。

在高端市场，ExtraHop发现了一些最新的交易列表，其中一些威胁行为者将其EDR规避工具定价为7,500美元，甚至高达10,000美元。这些高价工具中包含了加密器与EDR规避功能的组合。例如，在2024年7月15日发布于XSS论坛的一则帖子中，威胁行为者“Baphomet”出售其高级“AV/EDR进程终止软件”，价格为7,500美元。

Baphomet提供了以下关于其EDR规避工具的技术信息：

• 该产品兼容Windows操作系统（包括Windows Server、Windows 10、Windows 11等）。
• 可以删除受保护的进程，不会触发任何警告或报警。
• 需要管理员权限。
• 无需加密或混淆处理。该工具干净，无需额外工作。
• 产品由可信供应商签名，而不是随机证书。
• 无限制使用：软件附带源代码，提供完全控制权。支持所有AV/EDR厂商，购买后可自由使用。
• 软件未被列入黑名单，也不会被识别为恶意软件。
• 工具界面友好，使用简单。
• 无需系统重启。如果发生重启或关机，系统会正常恢复，但需要重新启动软件。
• 根据具体的AV/EDR系统，可能需要禁用或终止所有相关进程，但某些厂商的系统不需要终止每个进程。
• 检测间隔为500-750毫秒，可切换至1毫秒运行且无问题。运行过程中进程不会重新生成。

2024年1月15日，在XSS论坛的早期一则广告中，高声誉的威胁行为者“KernelMode”宣传了他们的“AV/EDR禁用工具”。

广告中解释了该工具的主要优势：“AV/EDR扫描器进程不会被终止，即从外部来看，安全解决方案仍在运行，但实际上文件和内存扫描已被禁用。该工具已在以下系统和AV/EDR上进行测试：Windows 7 SP1至Windows 11、Windows Server 2008 R2至2022，以及Bitdefender、CrowdStrike、Cylance、Palo Alto Networks、Kaspersky、DrWeb、ESET、Avast、Avira、Symantec、Sophos、SentinelOne、TrendMicro、Webroot和Windows Defender 10/11。”

“每个AV/EDR的月支持费用为 1,500美元，最低订单金额为 7,500美元。如果您需要的AV/EDR未在列表中，请联系我们，我们会尝试添加支持。我仅招募 7位客户，支持通过担保交易。”

“在交易前，我会提供视频演示，展示通过 mimikatz 的运行效果以及 scanner.to 上的当前AB/EDR扫描结果。”

KernelMode强调，他们的工具不会终止EDR应用程序进程，而是通过破坏文件和内存扫描功能，允许AV/EDR解决方案表面上继续运行。

值得注意的是，KernelMode的定价与Baphomet完全相同。这种相似性可能仅仅是黑市自由竞争的结果，但也有可能Baphomet和KernelMode出售的是同一款工具，并通过不同的化名和产品名称制造产品多样化的假象。

无论如何，KernelMode是一个高产的EDR规避工具供应商，其产品在XSS、RAMP、Exploit.in以及其他网络犯罪论坛和市场上均可发现。

在ExtraHop发现的网络犯罪论坛中，最高售价的产品是由威胁行为者“Bug”推广的一款加密器（locker）的源代码。该源代码的目标客户显然是勒索软件运营者。值得注意的是，“Bug”在2024年6月16日的XSS论坛帖子中写道，他们的“加密器内置通过系统调用（syscalls）绕过AB（杀毒软件）和EDR（终端检测与响应）模拟的功能，并实现了系统DLL的钩子移除、ETW（事件跟踪）和AMSI（反恶意软件扫描接口）的绕过。这是一套完全原创的代码。”

此广告具有重要意义，因为它展示了一些勒索软件组织如何将EDR规避功能直接集成到其加密器中。这种技术与 Fin7 和 Black Basta 等威胁行为者密切相关。

另一个有趣的广告是威胁行为者 mkdele 于2022年4月发布在XSS论坛上的“禁用杀毒软件/EDR”帖子。该威胁行为者声称，他们的产品可以禁用大多数AV/EDR工具，包括：

SentinelOne、Sophos、Cisco、Symantec、Trend Micro、McAfee、Kaspersky、Malwarebytes、Windows Defender、Avast、Webroot、ESET、BitDefender、CrowdStrike、Panda、F-Secure、AhnLab、Cylance、G Data、Cortex、Carbon Black和Check Point。

Mkdele 的产品售价为 $2,000起。尽管Mkdele的AV/EDR规避工具已经推广了超过两年，但其广告中提到，该工具最近一次更新是在 2024年7月17日。自推出以来，该产品在XSS论坛上获得了许多成员的积极评价。

我们收集到的与EDR规避相关的其他有价值的帖子还讨论了诸如“攻击去相关化（attack decorrelation）”等技术。

在XSS论坛的一篇名为《Dumping LSA Secrets: A Tale of Task Distribution》的帖子中，威胁行为者“simplestop”详细介绍了一种提取Windows操作系统本地安全权限（Local Security Authority, LSA）加密密钥集的方法。这些密钥集存储在注册表中，咨询公司Wolf & Company, P.C.指出，注册表“本质上是一个存储计算机重要设置的数据库”。根据SentinelOne的研究，LSA Secrets中包含以下系统敏感数据：

• 用户密码
• Internet Explorer密码
• 服务账户密码（需要认证凭据的服务）
• 缓存域密码加密密钥
• SQL数据库密码
• SYSTEM账户密码
• 已配置计划任务的账户密码
• 未激活的Windows副本的到期时间

因此，攻击者通常会尝试提取这些密钥，以获取敏感密码并枚举其他系统敏感数据。在其指南的第四章中，“simplestop”解释称，他们的EDR规避技术之所以能避开EDR和杀毒软件的检测，是因为采用了“攻击去相关化（attack decorrelation）”。

根据“simplestop”的说法，“攻击去相关化”是指不要用一个工具完成所有任务，而是使用多个工具分别完成简单的任务。随后，他们将“LSA密钥提取”攻击分解为以下三个步骤：

1. 获取启动密钥（boot key）
1. 使用一个专门查询注册表键类值的二进制程序，或通过打印方法获取。
2. 导出注册表的SAM和SECURITY分支
1. 使用reg.exe工具导出。这一操作不会被阻止，因为它仅是读取注册表键，这种行为在系统中十分常见。“如果EDR要跟踪所有这些读取操作，我认为系统可能会崩溃。”
3. 解密导出的注册表内容和启动密钥
1. 在受控的计算机上对这些数据进行解密。这种方法避免了在目标系统上执行加密操作，从而降低被EDR检测的可能性。

“simplestop”指出，如果攻击者按照这些步骤操作，他们将能够“获得解密密钥所需的所有信息”。此外，由于在目标系统上的操作极少，EDR通常难以察觉这些行为。

ExtraHop还收集到另一篇有关EDR规避的启发性帖子，这篇帖子甚至没有涉及实际产品或概念验证。2024年7月31日，威胁行为者“BigBug”在XSS论坛上发布了一则帖子，向论坛成员征求对其构想的评价。其提出的概念是为少量用户提供一种私人服务，该服务允许用户访问所有主流EDR解决方案。简单来说，这一想法类似于一个专为恶意软件开发者设计的虚拟沙箱环境，用于测试其恶意软件能否绕过各种领先的EDR代理：

• 用户支付订阅费用后，可以访问一个个人账户。
• 在账户中，用户可以选择一个或多个EDR解决方案。
• 按下按钮后，将启动加载选定EDR的虚拟机环境。
• 用户可以访问虚拟机并自由测试其软件。

这个概念表明，威胁行为者正在不断探索创新方式，以优化其攻击能力并提高恶意软件规避EDR检测的成功率。

虽然BigBug的提议——创建EDR规避虚拟沙箱服务——尚未有实际的概念验证产品，但这一帖子展示了不断演变且日益专业化的对抗性创新所带来的威胁潜力。

鉴于威胁行为者在规避EDR检测方面的持续创新，企业安全团队已经无法仅依赖端点检测或安全信息与事件管理（SIEM）工具。

RevealX™ 网络检测与响应（NDR）为组织提供全方位的可见性和检测能力，能够有效阻止使用最新EDR规避工具和终止套件的攻击者。RevealX可以实时监控企业的网络流量，包括南北向和东西向流量，甚至加密流量，并在发现显著异常时立即向安全分析员发出警报。

该平台以带外方式运行，确保所有NDR操作不会影响网络性能。它能够捕获交易日志、NetFlow数据以及跨越OSI模型第2至第7层的完整数据包，并将这些数据保存长达180天，支持深入调查和根因分析。

通过完整数据包捕获（PCAP），RevealX提供了更丰富的上下文和元数据，帮助实现更精准的检测并加速响应。借助RevealX，您可以随时掌握网络中每个数据包的活动情况，包括其来源、目的地以及通信内容。这种细致的分析能力对需要满足严格事件报告要求的组织尤为重要。

除了PCAP和行业领先的协议解密功能，RevealX还利用云端机器学习对网络数据进行分析，区分异常网络行为和正常流量。除了基于行为的机器学习检测外，RevealX还提供以下四种基于网络的检测能力：

• 网络指标检测
• 常见漏洞利用检测
• 新兴漏洞利用检测
• 通过入侵检测系统（IDS）模块实现的基于签名的网络恶意软件检测

随着攻击者不断开发新方法来绕过或禁用EDR控制，RevealX这样的NDR工具成为了一条关键的防线，使威胁行为者无法规避或禁用，确保企业网络安全得到全面保障。

https://www.extrahop.com/blog/Dark-web-market-for-EDR-Killers

喜欢此内容的人还喜欢