Las técnicas de evasión de EDR se pueden agrupar en tres categorías comunes: afectar las herramientas de seguridad, ocultar la ejecución maliciosa y mezclarse con la actividad legítima. Las categorías se superponen, y en una sola intrusión puede aparecer más de una. Así es como los actores de amenazas se mantienen ocultos mientras exploran tu entorno.
1. Cegar al agente (manipulación de EDR)
"Cegar al agente" se refiere a bloquear la capacidad del EDR de ver lo que hacen los actores de amenazas. Una técnica que los atacantes pueden usar para afectar las herramientas de seguridad es traer tu propio controlador vulnerable (BYOVD). En un ataque BYOVD, los actores de amenazas abusan de un controlador firmado legítimamente que contiene una vulnerabilidad conocida o expone funcionalidad privilegiada. Explotar el controlador puede darle al atacante capacidades privilegiadas a nivel de kernel, según el controlador y la vulnerabilidad.
Una firma digital válida puede hacer que un controlador parezca más confiable para los controles de seguridad, pero la firma no hace que el controlador sea seguro, y las protecciones modernas pueden usar verificaciones adicionales de reputación, lista de bloqueo y comportamiento.
Una vez que el controlador está en funcionamiento, los actores de amenazas explotan esa confianza para desactivar el agente o anular el registro de sus callbacks de seguridad. Los atacantes pueden intentar detener procesos de seguridad, interferir con componentes del sensor o interrumpir la transmisión de telemetría. Si tienen éxito, estas acciones pueden reducir la visibilidad de los defensores antes de que ocurra actividad posterior. Sin alertas, los profesionales de seguridad podrían no notar el comportamiento sospechoso.
Hemos visto que estas técnicas causan pérdidas masivas en el mundo real. Por ejemplo, en 2024, el grupo ALPHV usó credenciales robadas para desactivar las defensas de Change Healthcare. Esto permitió al grupo moverse por la red de Change Healthcare durante nueve días antes de implementar ransomware para cifrar los sistemas. ALPHV/BlackCat reportó haber accedido a más de 6 TB de datos, incluyendo información médica y otra información privada. Esta cifra debe considerarse una afirmación no verificada del actor de amenazas. Al final, Change Healthcare pagó el rescate de \$22 millones en bitcoin exigido por ALPHV, pero no recuperó los datos.
2. Ocultarse (evasión en memoria)
Para esta categoría de evasión de EDR, los actores de amenazas pueden intentar evadir el monitoreo en modo usuario manipulando la ejecución en torno a componentes de Windows como la DLL de capa NT (NTDLL). La efectividad de estas técnicas depende de la telemetría y la arquitectura de monitoreo específicas del EDR. Debido a que NTDLL gestiona cómo los programas se comunican con la computadora, a los actores de amenazas les gusta ejecutar su código malicioso desde esta ubicación sigilosa. Saben que las herramientas de seguridad automatizadas tienen puntos ciegos aquí.
Una de las tácticas de evasión más eficaces implica el uso de llamadas al sistema directas. Las llamadas al sistema directas o indirectas se pueden usar para evitar los hooking de API en modo usuario y otros mecanismos de monitoreo específicos. No evaden universalmente el EDR, porque los productos pueden recopilar telemetría adicional en otras capas de detección.
Los actores de amenazas también usan malware sin archivos para evitar descargar archivos sospechosos en el disco duro de la computadora. El payload malicioso puede ejecutarse principalmente en memoria y puede dejar menos archivos tradicionales en el disco. Los actores de amenazas codifican o cifran el código para que parezca ilegible y no active ninguna alarma.
Los actores de amenazas también pueden llevar las cosas más lejos usando técnicas de inyección de procesos para ocultar código dentro de programas confiables que tu computadora ya ejecuta. En el vaciado de procesos, los actores de amenazas vacían un programa confiable y llenan su estructura con malware. En la carga lateral de DLL, los actores de amenazas introducen un archivo auxiliar falso en la carpeta de un programa confiable para que el programa ejecute accidentalmente el código malicioso.
3. Mezclarse o vivir de la tierra (LOTL)
Los actores de amenazas pueden ser aún más sigilosos, usando binarios de vivir de la tierra (LOLBins) integrados en el sistema operativo de tu computadora para ejecutar comandos. Debido a que herramientas como WMI y PowerShell son componentes legítimos y de uso rutinario del sistema operativo, el uso malicioso puede ser difícil de distinguir de la actividad administrativa normal.
Los actores de amenazas pueden combinar tácticas de LOTL con credenciales robadas, pero el abuso de credenciales es una técnica relacionada y no una característica definitoria de la actividad LOTL. El software de seguridad automatizado a menudo no puede distinguir entre un usuario real y un actor de amenazas cuando ambos usan un nombre de usuario y una contraseña auténticos.
Este método es una de las formas más populares en que los actores de amenazas ingresan a sistemas vulnerables. Un informe importante encontró que el 82% de las intrusiones no usan archivos de malware tradicionales y en su lugar usan contraseñas robadas y herramientas integradas para pasar desapercibidos.
