Early Cascade Injection: новый метод атаки меняет всё

Исследователи из компании Outflank представили новый метод внедрения кода под названием Early Cascade Injection, который позволяет обходить современные системы обнаружения угроз (EDR). Эта техника задействует особенности процесса создания приложений в Windows и минимизирует риск обнаружения, эффективно конкурируя с популярными методами вроде Early Bird APC Injection.

В основе Early Cascade Injection лежит вмешательство в создание процессов на уровне пользовательского режима. Метод объединяет преимущества Early Bird APC Injection и недавно разработанного EDR-Preloading. В отличие от ранних методов, новый подход устраняет необходимость использования межпроцессного вызова асинхронных процедур (APC), что снижает вероятность обнаружения.

Для выполнения кода Early Cascade Injection использует недокументированные указатели внутри библиотеки «ntdll.dll». Примером такого указателя является «g_pfnSE_DllLoaded», который задействуется до начала инициализации ключевых библиотек, таких как «kernel32.dll» и «kernelbase.dll». Это позволяет получить контроль над процессом на ранних стадиях.

После внедрения начального фрагмента кода через «g_pfnSE_DllLoaded», система использует вызов NtQueueApcThread для добавления основного полезного кода в очередь APC. Этот код запускается на завершающем этапе инициализации процесса, когда система очищает очередь APC через функцию NtTestAlert.

В отличие от традиционного Early Bird APC Injection, новый метод исключает подозрительные межпроцессные взаимодействия, что делает его менее заметным для EDR. Также Early Cascade Injection не требует модификации системных прав доступа для изменения памяти, так как нужные секции («.mrdata» и «.data») остаются доступными для записи в приостановленном состоянии процесса.

Техника Early Cascade Injection способна эффективно обходить системы обнаружения, так как позволяет внедрять код до того, как EDR успевает активировать защитные механизмы. Например, при загрузке первых DLL-модулей EDR часто вставляет свои хуки, чтобы отслеживать активность. Новый метод вмешивается как раз на этой стадии, что может сорвать запуск таких защитных модулей.

Реализация Early Cascade Injection демонстрирует, как инновационные подходы продолжают находить уязвимости в безопасности. В результате исследователи показали, что можно обойти даже передовые EDR-решения, минимизируя риск обнаружения. При этом использование таких методов вызывает дополнительные риски, так как их эффективность зависит от особенностей конкретной версии Windows и возможных обновлений.