Como Carregadores PE em Memória Permitem que Ataques Contornem EDRs

Pesquisadores de segurança revelaram uma nova técnica de ataque que permite a invasores contornar soluções de Detecção e Resposta em Endpoint (EDR) ao executar arquivos executáveis portáteis (PE) diretamente na memória, sem gravá-los no disco. Essa técnica, conhecida como carregador PE em memória, possibilita a injeção e execução de binários maliciosos em processos considerados benignos. O método utiliza APIs do WinINet para baixar o arquivo PE de repositórios remotos e alocar memória virtual para executar o código malicioso. Durante testes, soluções como Microsoft Defender XDR e Sophos XDR não conseguiram detectar essa execução em memória, evidenciando uma falha crítica nas defesas tradicionais. Para mitigar esses riscos, as equipes de segurança devem implementar análises comportamentais e monitoramento de alocação de memória, além de reforçar políticas de whitelist de aplicativos e auditar requisições HTTP de processos críticos. A crescente adoção de métodos sem arquivo exige que as organizações evoluam suas abordagens de segurança, garantindo visibilidade abrangente tanto em operações de sistema de arquivos quanto em memória.

Fonte: https://cyberpress.org/how-in-memory-pe-loaders-allow-attackers-to-bypass-edrs-and-how-to-defend/

Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).