Cybersécurité : comment l’EDR peut être contourné

Une pratique répandue…

L’analyse de ces données a permis d’en apprendre beaucoup sur l’organisation interne de ce qui s’est révélé être une véritable PME de la cybercriminalité. À la clé, une révélation remarquable : début 2021, Conti cherchait à acquérir des licences de l’EDR de Carbon Black. Le but ? Apprendre à passer au travers des mailles de ses filets. Le cas n’est pas isolé.

Dans un billet de blog publié début octobre 2022, Andreas Klopsch, chercheur en menaces chez Sophos, détaillait une nouvelle tactique d’évasion employée par les attaquants déployant le ransomware BlackByte : elle désactive les outils de détection et de réponse sur les hôtes (EDR, Endpoint Detection and Response) en exploitant une vulnérabilité connue d’élévation de privilèges et d’exécution de code dans un pilote appelé RTCore64.sys. Ce pilote vidéo est utilisé par MSI AfterBurner 4.6.2.15658 de Micro-Star, un outil d’overclocking qui donne aux utilisateurs un contrôle étendu sur les cartes graphiques.

Début novembre, c’était au tour de SentinelOne d’expliquer comment les affidés de Black Basta contournent les EDR.

… Qui fait l’objet de nombreuses recherches

Si les attaquants s’emploient à contourner les mécanismes de détection des EDR, le sujet se doit d’être traité par les chercheurs en sécurité. Et cela que ce soit pour entraîner les équipes en charge de la sécurité opérationnelle, via des exercices de type red team/blue team, ou pour apprendre à améliorer les mécanismes de protection existants.

Le Britannique MDSec publiait ainsi, début 2019, une façon de contourner l’EDR de Cylance – qui venait d’être racheté par BlackBerry. Mais les techniques disponibles et connues à ce jour sont bien plus nombreuses qu’il n’y paraît.

Fabian Mosch, spécialiste de la sécurité offensive, a publié un inventaire – très technique – de ces méthodes, fin janvier 2021. Au printemps 2022, c’était au tour de Vincent Van Mieghem, de Prosus Group, détaillant une dizaine de pratiques. Le groupe CMEPW – qui compte au moins deux experts d’Orange Cyberdefense – en a publié une impressionnante cartographie.

Des outils prêts à l’emploi ont même été développés et sont partagés sur GitHub, à l’instar d’EDRSandblast, signé Thomas Diot et Maxime Meignan, de Wavestone. Il faut également compter, notamment, avec Inceptor, de Porchetta Industries.