新型工具EDR-Freeze曝光：借助Windows錯誤報告系統 從用戶模式中實現安全軟件規避

研究人員提出一種新方法，并開發出概念驗證工具“EDR-Freeze”。該工具證明，攻擊者可借助微軟Windows錯誤報告（WER）系統，從用戶模式中規避安全解決方案的檢測。

這種技術無需依賴漏洞驅動程序，就能讓端點檢測與響應（EDR）工具等安全代理陷入“休眠”狀態。

安全研究員TwoSevenOneThree（別名Zero Salarium）發現，通過將WER框架與MiniDumpWriteDump API結合，可以無限期地暫停EDR和殺毒軟件進程的活動。

目前已有的EDR禁用方法多基于“自帶漏洞驅動程序（BYOVD）”技術：攻擊者獲取合法但存在漏洞的內核驅動程序，通過利用漏洞提升權限。而BYOVD攻擊存在明顯缺陷，例如需將驅動程序植入目標系統、繞過執行防護機制，還要清除可能暴露攻擊行為的內核級痕跡。

相比之下，EDR-Freeze被描述為“更隱蔽”的方法：無需內核驅動程序，完全在用戶態運行，且僅依賴Windows系統默認自帶的合法組件。

EDR-Freeze的工作原理

WerFaultSecure是Windows錯誤報告系統的組件，以“受保護進程輕量模式（PPL）”權限運行，其設計用途是收集敏感系統進程的崩潰轉儲文件，用于調試和診斷分析。

MiniDumpWriteDump是DbgHelp庫中的一款API，功能是生成進程內存與狀態的快照（即“小型轉儲文件”）。在生成快照的過程中，它會先暫停目標進程的所有線程，待操作完成后再恢復線程運行。

EDR-Freeze的核心邏輯，是借助WerFaultSecure觸發MiniDumpWriteDump——在生成轉儲文件時，MiniDumpWriteDump會暫時暫停目標進程的所有線程；而攻擊者會在此時暫停WerFaultSecure進程本身，導致轉儲工具無法恢復目標進程，最終使殺毒軟件進程陷入“停滯”狀態。

該研究員將這種攻擊定義為“競態條件攻擊”，并指出可通過四個步驟復現：

1. 以PPL權限啟動WerFaultSecure進程；

2. 向WerFaultSecure傳遞參數，使其對目標進程ID（PID）調用MiniDumpWriteDump；

3. 持續檢測目標進程，直至其被轉儲操作暫停；

4. 立即以“進程暫停/恢復（PROCESS_SUSPEND_RESUME）”權限打開WerFaultSecure，調用NtSuspendProcess函數凍結轉儲工具。

研究員還發布了一款可自動執行上述操作的工具，并在Windows 11 24H2系統上進行測試，成功凍結了Windows Defender（微軟殺毒軟件）進程。

設置參數（左）和暫停Windows Defender（右）

值得注意的是，這種新型攻擊利用的是MiniDumpWriteDump與WerFaultSecure的“預期功能”——二者的正常邏輯被串聯后形成攻擊鏈，因此這更偏向于Windows的設計缺陷，而非傳統意義上的漏洞。

防御建議

針對EDR-Freeze的防御并非無計可施，關鍵在于監控WER是否指向“敏感進程標識符”，如本地安全機構子系統LSASS或安全工具的PID。為此，安全研究員開發了一款工具，可建立WerFaultSecure與微軟Defender Endpoint進程的映射關系，輔助檢測異常。

此外，微軟也可采取措施強化這些Windows組件的安全性，防止被濫用，例如：攔截可疑調用、僅允許對特定PID執行操作，或限制參數的可配置范圍。

參考及來源：https://www.bleepingcomputer.com/news/security/new-edr-freeze-tool-uses-windows-wer-to-suspend-security-software/