The following blog post is based on our May H1 Vulnerability Insights Report. TeamT5 Vulnerability Research Team is dedicated to providing timely mitigation and response guidelines to critical vulnerabilities. [Contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) for more information about our vulnerability intelligence.


## Active Exploitation of CVE-2025-31324 in SAP NetWeaver

TeamT5 has detected that a critical vulnerability (CVE-2025-31324) in SAP NetWeaver was actively exploited by China-nexus APT group, Amoeba (aka APT41). The earliest exploitation of Amoeba can be traced back to May 2025, whereas public reports suggested that the zero-day exploitation has observed in January 2025. The threat actors deployed webshell and malware, such as vshell and CobaltStrike Beacon, after successful exploitation. 

Moreover, our further investigation found that several major cloud services providers were affected. Over 100 entities, including Google Cloud, Microsoft Azure, Amazon Web Service, were compromised with webshell. The victims are in Taiwan, South Korea, China, India, the United States, Spain, Turkey, Russia, Germany, Guatemala, Saint Barthélemy, and Chile, spanning education, manufacturing, automotive, recycling, tourism, IT, food and beverage, and conglomerate. 

We conclude the attacks in **Exploitation Status** below.

### Executive Summary

We assess the severity level of CVE-2025-31324 as critical and urge our customers to use this report to mitigate the effects. CVE-2025-31324 is an unauthenticated file upload vulnerability in SAP NetWeaver Visual Composer Metadata Uploader. With a CVSS score of 9.8, successful exploitation of CVE-2025-31324 allows unauthenticated threat actor to upload webshell and implant malware.

SAP fixed the vulnerability in a security note released in May 2025 [1]. Yet, Public reports and Proof-of-Concepts of CVE-2025-31324 was published since April 2025 [2][3]. Public reports suggested that CVE-2025-31324 has been exploited as zero-day vulnerability in the wild since January 2025[4]. 

Based on our investigation and the current exploitation status of CVE-2025-31324, we depicted the **Forensic Artifacts** in this report. We also concluded the malware and IoC in **Appendix I: Malware Table** and **Appendix II: Indicators of Compromise (IoC)**. Most importantly, we prepare a comprehensive **Mitigation and Response Advisory** for our customers.

The Mitigation and Response Advisory includes:
- Official Information
- Threat Hunting Tools: We provide a YARA rule to detect generic JSP webshell.

 

### Exploitation Status

CVE-2025-31324 has been exploited by China-nexus APT group Amoeba since May 2025. 
- Amoeba exploited CVE-2025-31324 in attacks against India, Germany, Turkey, Spain, spinning recycling, automotive, and tourism industry.
 - In the attacks, Amoeba deployed webshell as initial payload and implanted malware such as CobaltStrike Beacon and vshell.
 - The C2 of the malware are 43.133.196.194 and 101.32.26.154.
- In addition to the APT activities, our further investigation found that several major cloud services providers were affected. Over 100 entities, including Google Cloud, Microsoft Azure, Amazon Web Service, were compromised with webshell.

 

### Affected Products

Product – SAP NetWeaver (Visual Composer development server)
Version – VCFRAMEWORK `7.50`

 

### Mitigation and Response Advisory

#### 1. Official Information

Successful exploitation of CVE-2025-31324 allows unauthenticated threat actors to upload webshell and implant malware. We highly recommend our client to patch the vulnerability immediately. 

SAP fixed CVE-2025-31324 in a security note released in May 2025:
- https://support.sap.com/en/my-support/knowledge-base/security-notes-news/may-2025.html

#### 2. Threat Hunting Tools

CVE-2025-31324 allows unauthenticated threat actors to upload webshell. TeamT5 vulnerability team prepare a YARA rule for our clients to detect generic JSP webshell.

The YARA rule can be downloaded from Threat Hunting Tools in our solution [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website).

 

### Forensic Artifacts

Our investigation found that the exploitation of CVE-2025-31324 will leave following traces. Our clients can use the following Forensic Artifacts for investigation.

#### 1. Webshells
Unauthorized threat actors can exploit CVE-2025-31324 to upload webshell to `./apps/sap.com/irj/root/` and `./apps/sap.com/irj/work/`. Common webshells include `cache.jsp`, `shell.jsp`, `helper.jsp`, `usage.jsp`, `user.jsp`, `readme.jsp`. 

We provide the YARA rule for our customers to detect webshell.

#### 2. Check SAP Access Log for Suspicious Activities

Exploiting CVE-2025-31324 and access webshells will generate specific content to access log. Our clients can check the access log to identify potential suspicious activities and the attacker's IPs. 
- The access log can be found in SAP installation path:`./log/system/httpaccess/responses*.trc*`.
- Exploiting CVE-2025-31324 will generate `ATTACKER_IP : POST /developmentserver/metadatauploader?CONTENTTYPE=MODEL&CLIENT=1 HTTP/1.1 200` in access log.
- Accessing webshell will generate `ATTACKER_IP : GET /irj/helper.jsp?cmd=COMMAND HTTP/1.1 200` in access log.

 

### Appendix I: Malware Table

Malware Table introduces the malware mentioned in this report.

<table>
 <tr>
 <th>Name</th>
 <th>Type</th>
 <th>Description</th>
 <th>Attribution</th>
 <th>First Seen</th>
 </tr>

 <tr>
 <td>vshell</td>
 <td>RAT</td>
 <td>vshell is an open-source RAT that offers tunnel proxies and covert channels to emulate persistent attack behaviors within networks. With support for multiple protocols, robust compatibility, and extensive collaboration features, it enables blue teams to enhance security equipment assessment and bolster emergency response capabilities. vshell is widely used in red-blue attack and defense drills and confrontation simulations, simulating the strategies and techniques of APT threat actors.</td>
 <td>Open-source</td>
 <td>2023.09</td>
 </tr>
 <tr>
 <td>CobaltStrike Beacon</td>
 <td>RAT</td>
 <td>CobaltStrike Beacon is the payload of Cobalt Strike, a commercial penetration testing software used by various red teams, ethical hackers, and threat actors. It is highly customizable with features such as key logging, file transfer, SOCKS proxying, privilege escalation, and mimikatz. CobaltStrike is a legitimate tool used by ethical hackers, but it is also a cyber weapon employed by threat actors to launch real attacks against companies and organizations.</td>
 <td>Shared</td>
 <td>2016.05</td>
 </tr> 
</table>

 

### Appendix II: Indicators of Compromise (IoC)

```c2-IP=IP
101.32.26.154
43.133.196.194
```

```hash=hash
7ec3d703d7fa41d0f13100ea352a9afd22c0e32f3fd1b2e08a83163ddcbe56d5
d560a377ffdba0efe9905d2d84492b486b115f60ee9a9efea850f67106ca9f14
3f5fd4b23126cb21d1007b479954af619a16b0963a51f45cc32a8611e8e845b5
c7b9ae61046eed01651a72afe7a31de088056f1c1430b368b1acda0b58299e28
9fb57a4c6576a98003de6bf441e4306f72c83f783630286758f5b468abaa105d
```


##Reference

[1] SAP Security Note 
https://support.sap.com/en/my-support/knowledge-base/security-notes-news/may-2025.html 

[2] Threat Brief: CVE-2025-31324 
https://unit42.paloaltonetworks.com/threat-brief-sap-netweaver-cve-2025-31324/ 

[3] Proof of Concept 
https://github.com/ODST-Forge/CVE-2025-31324_PoC 

[4] SAP NetWeaver Flaw Lets Hackers Take Full Control: CVE-2025-31324 Explained 
https://onapsis.com/blog/active-exploitation-of-sap-vulnerability-cve-2025-31324/

Alerts of Exploiting SAP NetWeaver: CVE-2025-31324

本文改寫自 TeamT5〈 2025 年 5 月第二期的漏洞情資報告（VIR 2024 April H2）〉。 TeamT5 漏洞研究團隊致力於針對重大漏洞提供即時的應對措施與緩解方案。如欲進一步了解 TeamT5 的漏洞情資報告，請[與我們聯繫](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)。


>**CVE-2025-31324: SAP NetWeaver ** 
TeamT5 偵測到 SAP NetWeaver 中一個高風險漏洞 (CVE-2025-31324) 已被與中國有關聯的 APT 組織 Amoeba（又稱 APT41）積極利用。 Amoeba 的早期利用可追溯到 2025 年 5 月，而公開報告顯示，其零日漏洞利用最早出現在 2025 年 1 月。成功利用漏洞後，攻擊者部署 webshell 和惡意軟體（例如 vshell 和 CobaltStrike Beacon）。
>
>此外，我們進一步調查發現，多家主流雲端服務供應商也受到影響，包括 Google Cloud、Microsoft Azure、Amazon Web Service 在內，超過 100 家組織遭到 webshell 攻擊。受害者遍佈台灣、韓國、中國、印度、美國、西班牙、土耳其、俄羅斯、德國、瓜地馬拉、聖巴瑟米和智利，涉及教育、製造、汽車、回收、旅遊、IT、食品飲料和商業集團等產業。
>
>本文詳細說明攻擊手法與情況。


The following blog post is based on our May H1 Vulnerability Insights Report. TeamT5 Vulnerability Research Team is dedicated to providing timely mitigation and response guidelines to critical vulnerabilities. [Contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) for more information about our vulnerability intelligence.


## Active Exploitation of CVE-2025-31324 in SAP NetWeaver

TeamT5 has detected that a critical vulnerability (CVE-2025-31324) in SAP NetWeaver was actively exploited by China-nexus APT group, Amoeba (aka APT41). The earliest exploitation of Amoeba can be traced back to May 2025, whereas public reports suggested that the zero-day exploitation has observed in January 2025. The threat actors deployed webshell and malware, such as vshell and CobaltStrike Beacon, after successful exploitation. 

Moreover, our further investigation found that several major cloud services providers were affected. Over 100 entities, including Google Cloud, Microsoft Azure, Amazon Web Service, were compromised with webshell. The victims are in Taiwan, South Korea, China, India, the United States, Spain, Turkey, Russia, Germany, Guatemala, Saint Barthélemy, and Chile, spanning education, manufacturing, automotive, recycling, tourism, IT, food and beverage, and conglomerate. 

We conclude the attacks in **Exploitation Status** below.

### Executive Summary

We assess the severity level of CVE-2025-31324 as critical and urge our customers to use this report to mitigate the effects. CVE-2025-31324 is an unauthenticated file upload vulnerability in SAP NetWeaver Visual Composer Metadata Uploader. With a CVSS score of 9.8, successful exploitation of CVE-2025-31324 allows unauthenticated threat actor to upload webshell and implant malware.

SAP fixed the vulnerability in a security note released in May 2025 [1]. Yet, Public reports and Proof-of-Concepts of CVE-2025-31324 was published since April 2025 [2][3]. Public reports suggested that CVE-2025-31324 has been exploited as zero-day vulnerability in the wild since January 2025[4]. 

Based on our investigation and the current exploitation status of CVE-2025-31324, we depicted the **Forensic Artifacts** in this report. We also concluded the malware and IoC in **Appendix I: Malware Table** and **Appendix II: Indicators of Compromise (IoC)**. Most importantly, we prepare a comprehensive **Mitigation and Response Advisory** for our customers.

The Mitigation and Response Advisory includes:
- Official Information
- Threat Hunting Tools: We provide a YARA rule to detect generic JSP webshell.

 

### Exploitation Status

CVE-2025-31324 has been exploited by China-nexus APT group Amoeba since May 2025. 
- Amoeba exploited CVE-2025-31324 in attacks against India, Germany, Turkey, Spain, spinning recycling, automotive, and tourism industry.
 - In the attacks, Amoeba deployed webshell as initial payload and implanted malware such as CobaltStrike Beacon and vshell.
 - The C2 of the malware are 43.133.196.194 and 101.32.26.154.
- In addition to the APT activities, our further investigation found that several major cloud services providers were affected. Over 100 entities, including Google Cloud, Microsoft Azure, Amazon Web Service, were compromised with webshell.

 

### Affected Products

Product – SAP NetWeaver (Visual Composer development server)
Version – VCFRAMEWORK `7.50`

 

### Mitigation and Response Advisory

#### 1. Official Information

Successful exploitation of CVE-2025-31324 allows unauthenticated threat actors to upload webshell and implant malware. We highly recommend our client to patch the vulnerability immediately. 

SAP fixed CVE-2025-31324 in a security note released in May 2025:
- https://support.sap.com/en/my-support/knowledge-base/security-notes-news/may-2025.html

#### 2. Threat Hunting Tools

CVE-2025-31324 allows unauthenticated threat actors to upload webshell. TeamT5 vulnerability team prepare a YARA rule for our clients to detect generic JSP webshell.

The YARA rule can be downloaded from Threat Hunting Tools in our solution [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website).

 

### Forensic Artifacts

Our investigation found that the exploitation of CVE-2025-31324 will leave following traces. Our clients can use the following Forensic Artifacts for investigation.

#### 1. Webshells
Unauthorized threat actors can exploit CVE-2025-31324 to upload webshell to `./apps/sap.com/irj/root/` and `./apps/sap.com/irj/work/`. Common webshells include `cache.jsp`, `shell.jsp`, `helper.jsp`, `usage.jsp`, `user.jsp`, `readme.jsp`. 

We provide the YARA rule for our customers to detect webshell.

#### 2. Check SAP Access Log for Suspicious Activities

Exploiting CVE-2025-31324 and access webshells will generate specific content to access log. Our clients can check the access log to identify potential suspicious activities and the attacker's IPs. 
- The access log can be found in SAP installation path:`./log/system/httpaccess/responses*.trc*`.
- Exploiting CVE-2025-31324 will generate `ATTACKER_IP : POST /developmentserver/metadatauploader?CONTENTTYPE=MODEL&CLIENT=1 HTTP/1.1 200` in access log.
- Accessing webshell will generate `ATTACKER_IP : GET /irj/helper.jsp?cmd=COMMAND HTTP/1.1 200` in access log.

 

### Appendix I: Malware Table

Malware Table introduces the malware mentioned in this report.

<table>
 <tr>
 <th>Name</th>
 <th>Type</th>
 <th>Description</th>
 <th>Attribution</th>
 <th>First Seen</th>
 </tr>

 <tr>
 <td>vshell</td>
 <td>RAT</td>
 <td>vshell is an open-source RAT that offers tunnel proxies and covert channels to emulate persistent attack behaviors within networks. With support for multiple protocols, robust compatibility, and extensive collaboration features, it enables blue teams to enhance security equipment assessment and bolster emergency response capabilities. vshell is widely used in red-blue attack and defense drills and confrontation simulations, simulating the strategies and techniques of APT threat actors.</td>
 <td>Open-source</td>
 <td>2023.09</td>
 </tr>
 <tr>
 <td>CobaltStrike Beacon</td>
 <td>RAT</td>
 <td>CobaltStrike Beacon is the payload of Cobalt Strike, a commercial penetration testing software used by various red teams, ethical hackers, and threat actors. It is highly customizable with features such as key logging, file transfer, SOCKS proxying, privilege escalation, and mimikatz. CobaltStrike is a legitimate tool used by ethical hackers, but it is also a cyber weapon employed by threat actors to launch real attacks against companies and organizations.</td>
 <td>Shared</td>
 <td>2016.05</td>
 </tr> 
</table>

 

### Appendix II: Indicators of Compromise (IoC)

```c2-IP=IP
101.32.26.154
43.133.196.194
```

```hash=hash
7ec3d703d7fa41d0f13100ea352a9afd22c0e32f3fd1b2e08a83163ddcbe56d5
d560a377ffdba0efe9905d2d84492b486b115f60ee9a9efea850f67106ca9f14
3f5fd4b23126cb21d1007b479954af619a16b0963a51f45cc32a8611e8e845b5
c7b9ae61046eed01651a72afe7a31de088056f1c1430b368b1acda0b58299e28
9fb57a4c6576a98003de6bf441e4306f72c83f783630286758f5b468abaa105d
```


##Reference

[1] SAP Security Note 
https://support.sap.com/en/my-support/knowledge-base/security-notes-news/may-2025.html 

[2] Threat Brief: CVE-2025-31324 
https://unit42.paloaltonetworks.com/threat-brief-sap-netweaver-cve-2025-31324/ 

[3] Proof of Concept 
https://github.com/ODST-Forge/CVE-2025-31324_PoC 

[4] SAP NetWeaver Flaw Lets Hackers Take Full Control: CVE-2025-31324 Explained 
https://onapsis.com/blog/active-exploitation-of-sap-vulnerability-cve-2025-31324/

CVE-2025-31324: SAP NetWeaver 漏洞

Threat Intelligence

As hackers’ attack tactics, techniques, and procedures (TTPs) evolve rapidly, enterprise's cybersecurity teams need a more up-to-date security defense platform that can identify the latest threats and hunt threats that attempt to bypass detection. However, to quickly and effectively defend against new types of attacks, it is not enough to rely solely on the rule-based threat detection technology used by most EDRs.

##How can we identify the latest threats in a timely manner? 
There are many known threat alarms, but the latest threats are sneaking in quietly. How can we identify them quickly and effectively?
General EDR detects the threats based on known indicators of compromise (IoC). IoCs may include information about the attack, such as malware type, C2 IPs, malware signatures, and other technical information that can help security teams determine whether an attack has occurred. At the same time, YARA rules are created per the file or memory attributes to track malicious programs.

However, for security personnel, thousands of abnormal incident alerts are received every day through EDR detection, and it is still a big challenge to effectively identify the real high-risk incidents. At the same time, if you want to successfully detect the latest threat techniques, you must frequently update IoCs to defend against zero-day attacks. This will undoubtedly become a daily burden for security personnel who have been immersed in threat identification and analysis for a long time.

##Sigma rule detection makes the latest threats invisible
Similar to Yara rules that use IoCs to help identify and classify malware, Sigma rule detection can be specified by security personnel to compare common threats in logs to enhance incident detection capabilities.

The biggest advantage of Sigma rules is that they adopt a standardized format, which breaks the barriers of different SIEM (Security Information and Event Management) platforms using specific formats or languages. It allows security personnel to write a rule once and then share and apply it through a standard format. In different SIEM solutions, there is no need to rewrite rules, which improves detection efficiency and reduces the burden on security personnel.

A Sigma rule is an open-source standard, which allows network security experts to share and improve them through sharing platforms such as GitHub. On the one hand, it encourages everyone to share knowledge and exchange through a public environment. On the other hand, it can enable novices and experts to contribute their experience and learn from each other, thereby narrowing the gap in cybersecurity skills and alleviating the pressure that corporate organizations generally face a shortage of security personnel and urgently need to improve their professional capabilities.

##Signal Pattern of ThreatSonar grasps threat "signals"
Compatible with Sigma rules, TeamT5 transforms its long-term research and analysis of hacker attack behaviors and the latest threat attack methods into ThreatSonar's latest Signal Pattern detection engine, which uses behavioral rules to instantly detect whether there are suspicious programs on the endpoints.

ThreatSonar's Signal Pattern is researched and created by TeamT5 incident response experts and analysts. It can not only respond to newly revealed threats more quickly, but is also compatible with the open source Sigma rule standard. The Signal engine combines real-time collection of endpoint behavior logs and a new type of detection mechanism. This way, TeamT5's latest incident response experience and intelligence research can be integrated with the ThreatSonar detection engine to quickly respond to new types of threats or attack methods.

##What is a Signal Pattern?
"Signal" (Sigma-based Threat Analytics Local-side Monitoring) echoes the meaning of "Sonar, " part of the name “ThreatSonar”. When using sonar to detect attacks initiated by adversaries, it can track whether there are suspicious “signals” on the endpoints. Even if the signal is weak or seems insignificant, by correlating different suspicious signals, the malicious behavior of hackers can be found in the early stage. Once a high-risk threat is identified by ThreatSonar's Signal Pattern, incident alerts are immediately sent, allowing users to take prompt action on the visualized user interface of ThreatSonar to prevent further attacks.

![](https://uploads.teamt5.org/upload/original/en_pic1_a-new-battle-to-defend-against-hackers.png)

Benefits of Signal Pattern:
- Timely defense: TeamT5’s professional team quickly updates rules to effectively defend against the latest threats and zero-day attacks.
- Supports on-premise scanning: No network restrictions, quick response to attacks.
- Visualization: If the malicious attacks are hunted by rules, the user can grasp the incident trajectory on the Incident Report page.


![](https://uploads.teamt5.org/upload/original/en_pic2_a-new-battle-to-defend-against-hackers.jpg)
<center>On ThreatSonar's incident page, the trajectory of the backdoor implanted by the attacker after the user clicked on link is visually displayed, showing that ThreatSonar successfully detected this behavior through Signal Pattern, allowing administrators to take timely responses.</center>


In summary, with the latest intelligence, significant vulnerabilities, and recent international cyber attacks that TeamT5 has obtained and researched, ThreatSonar's Signal Pattern is updated in a timely manner, allowing enterprises and organizations to immediately defend against hackers that their industry may currently encounter to reduce the risk of being hacked.

 

>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us and know more of intelligence-driven cybersecurity solutions - https://teamt5.org/en/contact-us/.

A New Battle to Defend Against Hackers: Key Strategies to Strengthen Endpoint Detection!

隨著駭客攻擊戰術、技術和程序（TTP）日新月異，企業組織的資安團隊需要更與時俱進的資安防禦平台，識別出最新的威脅、獵捕企圖繞過檢測的攻擊。然而，要快速且有效達成防禦新型態的威脅攻擊，單單只依靠多數 EDR 所採用的基於規則的威脅偵測技術是不夠的。

##已知威脅告警多、最新威脅潛入卻悄聲，如何快速、有效辨識？
一般的 EDR 基於已知的入侵指標（IoC）進行偵測。IoC 可能包括攻擊的相關資料，例如惡意程式碼類型、中繼站 IP、惡意軟體簽章以及其他技術資料，這些資訊可以協助資安團隊確定是否發生了攻擊。同時藉由 YARA rule 針對檔案或記憶體的特徵，建立規則來追蹤惡意程式。
但對於資安人員來說，藉由 EDR 偵測，每天會收到上千筆異常事件告警，要能從中有效辨識出真正的高風險事件，仍是一大挑戰。同時，若要能成功偵測出最新的威脅手法，就必須時常更新 IoC 以防禦零時差攻擊，這對於長時間埋首於威脅判讀和分析的資安人員來說，無疑成為日常工作的負擔。

##基於 Sigma rule 的偵測分析，讓最新威脅無所遁形
類似於 Yara rule 使用 IoC 來幫助識別和分類惡意軟體，Sigma rule 則是透過資安人員指定的標準來比對記錄檔中常見的威脅，強化事件偵測能力。
Sigma rule 最大的好處在於其採用標準化格式，打破了不同 SIEM（Security Information and Event Management）平台各自使用特定格式或語言的藩籬，讓資安人員可以在編寫一次規則後，透過標準格式分享並應用在不同的 SIEM 解決方案，不需要再重新編寫規則，提高檢測效率，減少資安人員的負擔。
Sigma rule 的開源性質，讓網路資安專家可以透過 GitHub 等共享平台共享和改善 Sigma rule，一方面透過公共環境鼓勵大家分享知識與交流，另一方面也可藉著共享模式，讓新手和專家都可以從中貢獻經驗與彼此學習，進而縮小資安技能的落差，也減輕了企業組織普遍面臨資安人員不足、亟需提升專業能力的壓力。

##ThreatSonar Signal Pattern 即時掌握威脅「訊號」
相容於 Sigma rule，TeamT5 將長期研究駭客攻擊的行為分析以及最新的威脅攻擊手法，轉化為 ThreatSonar 最新 Signal Pattern 偵測引擎，以行為規則進行比對，即時偵測端點上是否有可疑的程式行為。

ThreatSonar 的 Signal Pattern 是由 TeamT5 事件應變處理專家與分析師共同撰寫的規則，不僅能更快速的應變新揭露的威脅，同時相容開源的 Sigma rule。TeamT5 所自行開發的 Signal 引擎，透過即時蒐集端點系統行為以及新型態掃描機制來完成。藉此，能將 TeamT5 最新的事件應變處理經驗與情資研究結合到 ThreatSonar 偵測引擎，快速反應新型態的威脅或攻擊方式。

##Signal Pattern 是什麼？
「Signal」（Sigma-based Threat Analytics Local-side Monitoring）呼應 ThreatSonar 中「Sonar」的「聲納」之意，在利用聲納探測敵方所發動的攻擊時，可追蹤端點上是否有可疑的訊號 –「Signal」，即使信號微弱、或看來微不足道，但藉著關聯不同的可疑訊號，可及早找到駭客的惡意行為。一旦經 ThreatSonar 的 Signal Pattern 辨識為高風險威脅，立即發送事件告警，讓使用者在可視化介面上做及時處置，防堵進一步的攻擊行為。

![](https://uploads.teamt5.org/upload/original/tw_pic1_a-new-battle-to-defend-against-hackers.png)

Signal Pattern 帶來的效益：
- **及時防禦**：TeamT5 專業團隊快速新增規則，有效抵禦當前最新威脅和零時差攻擊。
- **支援本地掃描**：不受網路限制，快速應變攻擊。
- **視覺化呈現**：若命中規則，使用者可在 Incident Report 頁面，掌握事件攻擊軌跡。

![](https://uploads.teamt5.org/upload/original/tw_pic2_a-new-battle-to-defend-against-hackers.jpg)
<center>在 ThreatSonar 的事件頁面上，視覺化呈現受駭者點開 lnk 後，被攻擊者植入後門的軌跡，顯示 ThreatSonar 成功透過 Signal Pattern 掃描到此行為，讓管理者可以及時採取應對。</center>

綜上所述，藉由 TeamT5 掌握到的最新情資、重大漏洞、近期國際上發生的網路攻擊事件，及時更新 ThreatSonar 的 Signal Pattern，讓企業組織可即早防禦所屬產業當前可能遭遇的駭客攻擊手法，減少被駭風險。

 

>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過 20 年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。
>
>歡迎[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，了解備受客戶肯定的資安產品與服務。

駭客攻防新戰役：強化端點偵測的關鍵戰略！

ハッカーの攻撃手法、技術、戦術（TTP）は日々進化しており、企業のセキュリティチームは、最新の脅威を特定し、検知を回避しようとする攻撃を追跡するための、より進化したサイバーセキュリティ・プラットフォームを求めています。

しかし、新たな脅威に迅速かつ効果的に対応するには、多くのEDR（エンドポイント検知・対応）で採用されているルールベースの脅威検知技術だけでは不十分です。

##多くの既知の脅威アラートに紛れ、最新の脅威が静かに侵入してくる中、どうすれば迅速かつ効果的に識別できるのか？
一般的なEDRは、既知の侵害指標（IoC）に基づいて脅威を検知します。IoCには、マルウェアの種類、中継サーバーのIPアドレス、悪意あるソフトウェアの署名、その他の技術的な情報など、攻撃に関するデータが含まれており、セキュリティチームが攻撃の有無を判断するために役立ちます。また、YARAルールを用いてファイルやメモリの特徴に基づくルールを作成し、マルウェアを追跡することも可能です。

しかし、セキュリティ担当者にとって、EDRによって毎日数千件もの異常な挙動のアラートを受け取る中で、高リスクなインシデントを効果的に見極めることは大きな課題です。さらに、最新の攻撃手法を検知するためには、IoCを頻繁に更新し、ゼロデイ攻撃に備える必要があり、脅威の判別と分析に日々追われているセキュリティ担当者にとって、大きな負担となっています。


##Sigmaルールを活用した検知・分析で、最新の脅威を完全に可視化
YARAルールがIoCを利用してマルウェアの識別や分類を支援するのと同様に、Sigmaルールはセキュリティ担当者が指定した標準に基づいて、ログ内の一般的な脅威を照合し、インシデント検知能力を強化します。


Sigmaルールの最大の利点は、その**標準化されたフォーマット**にあります。これにより、各SIEM（Security Information and Event Management）プラットフォームが独自の形式や言語を用いているという壁を打ち破り、一度作成したルールを共通フォーマットで共有し、さまざまなSIEMソリューションに適用できるため、ルールの再作成が不要になり、検知の効率が向上し、セキュリティ担当者の負担が軽減されます。
また、Sigmaルールはオープンソースであるため、セキュリティの専門家がGitHubなどの共有プラットフォームを通じてSigmaルールの共有や改善を行うことができます。

 このような**公開型の環境**は、知識やノウハウの共有・交流を促進し、初心者からエキスパートまでが経験を持ち寄って学び合うことを可能にします。結果として、サイバーセキュリティにおけるスキルギャップを縮め、慢性的な人材不足や専門スキル向上の必要性に悩む企業の課題解決にも貢献します。

##ThreatSonar Signal Pattern：脅威の「シグナル」を即キャッチ
Sigmaルールとの互換性を備えた**ThreatSonar Signal Pattern**は、TeamT5が長年にわたって蓄積してきたハッカーの攻撃行動分析および最新の脅威手法をもとに開発されています。このパターンは、行動ベースのルールにより、エンドポイント上の不審なプログラム挙動をリアルタイムで検知することが可能です。

ThreatSonar Signal Patternは、TeamT5のインシデント対応専門家およびアナリストによって作成されたルールで構成されており、新たに明らかになった脅威にも迅速に対応できます。また、オープンソースのSigmaルールとも互換性があります。
TeamT5独自開発のSignalエンジンは、エンドポイントのシステム挙動をリアルタイムに収集し、新しいスキャンメカニズムを通じて脅威を検知します。これにより、TeamT5の最新インシデント対応の知見と脅威インテリジェンスをThreatSonarの検知エンジンに統合し、新たな攻撃手法や脅威に迅速に対応することが可能になります。


##Signal Patternとは？
「Signal」（Sigma-based Threat Analytics Local-side Monitoring）は、ThreatSonarにおける「Sonar（ソナー）」の意味と呼応しています。ソナーで敵の動きを探知するように、Signalはエンドポイント上で発生する**不審なシグナル**を検出・追跡します。たとえそのシグナルが微弱で一見重要でないように見えても、複数の疑わしい兆候を関連付けることで、ハッカーの悪意ある行動をいち早く特定することが可能です。

![](https://uploads.teamt5.org/upload/original/jp_update_pic1_a-new-battle-to-defend-against-hackers.jpg)

ThreatSonar Signal Patternによって**高リスクな脅威**と判定された場合、即座にアラートを発信し、ユーザーは**可視化されたインターフェース**上で迅速に対応・対処できるので、さらなる攻撃の進行を未然に防ぐことが可能です。



**Signal Pattern による主な効果：**
- **リアルタイム防御**：TeamT5の専門チームが迅速にルールを追加し、最新の脅威やゼロデイ攻撃にも効果的に対応。
- **ローカルスキャン対応**：ネットワーク環境に依存せず、オフラインでも迅速なインシデント対応が可能。
- **ビジュアル化された表示**：ルールに一致した場合、ユーザーはIncident Reportページで攻撃の軌跡を視覚的に把握可能。

 

![](https://uploads.teamt5.org/upload/original/en_pic2_a-new-battle-to-defend-against-hackers.jpg)
<center>ThreatSonar のインシデントページでは、被害者が LNK ファイルを開いた後に攻撃者によってバックドアを仕込まれた一連の攻撃の流れが視覚的に表示されます。これは、ThreatSonar が Signal Pattern を通じてこの不審な行動を検出したことを示しており、管理者が迅速に対応を取ることを可能にします。</center>

 

まとめると、TeamT5 が把握している最新の脅威インテリジェンス、重大な脆弱性、および最近の国際的なサイバー攻撃事例に基づき、ThreatSonar Signal Pattern は迅速に更新されます。これにより、企業や組織は自社の業界で頻発する特定の攻撃手法にいち早く備えることができ、サイバー攻撃によるリスクを大幅に低減することが可能となります。


>TeamT5は、アジア太平洋地域のサイバー攻撃者を最も深く理解している地理的・文化的な優位性を活かした、トップクラスのサイバー脅威アナリストで構成されています。また、主要なサイバーセキュリティカンファレンスで頻繁にインサイトを共有しており、その脅威インテリジェンスの研究とソリューションは、Frost & Sullivanより「2023～2024年 台湾脅威インテリジェンス分野 最優秀企業賞」を受賞しています。
>
>インテリジェンス主導のサイバーセキュリティソリューションについて詳しく知りたい方は、以下よりお問い合わせください。 
>[https://teamt5.org/jp/contact-us/](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)

ハッカー攻防の新たな戦い：エンドポイント検知を強化するための重要戦略！

Products & Services

In recent years, cyber attack methods have become more complex, and some have even bypassed traditional EDR defense mechanisms.

For example, the attack technique HookChain does not directly disable the API hook, but manipulates the API process, achieving an 88% success rate in circumventing EDR defensive layers, rendering them ineffective against this evasive approach [1]. In addition, there are various types of malware that damage EDR [2], as well as attack methods that bypass EDR defenses, such as exploiting hardware breakpoints [3] and leveraging masquerading and path obfuscation to disguise malicious payloads as legitimate processes [4].

In this series of articles, we will first analyze how attackers bypass EDR and invade enterprise systems; and in [the other article](https://teamt5.org/en/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website), we will further explain the countermeasures that enterprises and organizations can take to deal with such attacks.

##Attackers’ methods of bypassing EDR detection

![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_pic01.png)

<center>Attackers’ methods of bypassing EDR detection</center>

EDR consists of the following elements:
- **Agent**: The software, installed on each endpoint, monitors system operations. It is responsible for receiving telemetry data collected by sensors and sending it to the management server for analysis.
- **Management Console**: Comprehensively analyzes collected data and identifies signs of attacks and incidents.

To detect signs of attack, EDR detection mainly focuses on: application and user behavior (such as the execution of suspicious programs and unusual privilege escalation); abnormal communication between the system and external (Command & control) servers; and analysis of registry changes, script execution, and abnormal behavior in memory.

However, attackers continuously develop new evasion techniques to bypass EDR detection, such as:

**1. Stopping the Agent itself: Forcefully terminate the EDR agent** 
The specific method is to use BYOVD (Bring Your Own Vulnerable Driver), where the attacker implants a vulnerable core driver into the target system to elevate permissions. This allows the attacker to access the core, disable EDR, and then carry out malicious actions.

**2. Stopping the logging function: Disable logging and delay detection** 
Attackers may also disable Event Tracing for Windows (ETW), a mechanism to record Windows system operations, to prevent records of suspicious operations from being left behind. This will prevent EDR from detecting signs of attack and greatly affect EDR's detection capabilities.

Attackers can also interfere with normal EDR operations by:

**3. Disabling EDR monitoring: Remove endpoints from EDR monitoring scope to bypass detection** 
Since APIs are interfaces that allow programs to use functions provided by the operating system and applications, EDRs usually connect to important system APIs to monitor signs of attacks. Attackers can avoid EDR monitoring by disabling API hook techniques, thereby creating an environment where malware can run freely.

**4. Impersonating the call stack of a function: Make malware look like legitimate software** 
Call Stack Spoofing is a malicious technique that spoofs the call stack (i.e. the execution history of a program) to make the attacker's actions appear to be executed from a trusted program. Attackers use this method to make it easier for EDR and cybersecurity products to ignore anomalies and fail to detect the attacker's malicious actions.

In addition, methods to leverage areas outside of EDR monitoring include:

**5. Exploiting areas without EDR monitoring by default and then abusing certain software behaviors not typically monitored by EDR** 
An attacker could also abuse Windows fibers, a lighter-weight program switching mechanism than threads, but some EDRs do not monitor this operation. Attackers can exploit this feature to execute malicious code while avoiding EDR detection.


Finally, attackers may also resort to tactics to disrupt or block EDR server communications, such as:

**6. Block communication with EDR server: prevent the transmission of endpoint detection results and disable monitoring** 
EDRs typically send detection results when communicating with management servers, but attackers can block this communication and isolate the EDR to prevent it from reporting anomalies. This effectively prevents the management from understanding the status of the endpoint and results in a loss of monitoring capability, creating an environment in which attackers can operate more freely.


By using these methods—individually or in combination—attackers can bypass EDR detection and remain hidden for extended periods, giving them time to carry out malicious activities. The consequences can be severe, including data breaches, theft of trade secrets, ransomware-related disruptions, and damage to critical systems. Such incidents can also erode trust among customers and partners. The longer an attack goes undetected, the greater the impact, making response and recovery significantly more difficult for organizations.

##How attackers break into systems

![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_pic2.png)

<center>EDR is built on the assumption that breaches are inevitable and is designed to detect advanced attacks in real time that cannot be fully prevented by traditional cybersecurity measures.</center>

From the 7 steps of the [cyber attack chain](https://teamt5.org/en/posts/what-is-cyber-kill-chain/?utm_source=blog&utm_medium=website), you can understand how attackers who bypass EDR detection can penetrate the system and achieve their ultimate goal:

1. **Reconnaissance**: The attacker first investigates information about the target (individual or organization).
2. **Weaponization**: The attacker's preparation of attack tools and malware, as well as the means to use them after a breach.
3. **Delivery**: Delivering the prepared attack tool to the target endpoint.
4. **Exploitation**: Executing dropped malware or other attack files and exploiting vulnerabilities to penetrate the target system.
5. **Installation**: The installation of malicious programs that allow attackers to gain long-term access.
6. **Command & Control**: The attacker remotely controls the hacked endpoint through an external Command & control (C&C) server.
7. **Actions on Objectives**: The attacker's goal is to steal information, disrupt business operations, or deploy ransomware.

Traditional antivirus software and firewalls can respond to attacks from attackers using known malware or specific network routers in the above-mentioned process from "delivery" to "exploitation", while EDR can prevent attacks from happening through real-time monitoring, analysis and behavioral detection. However, attackers continue to improve methods to bypass EDR mechanisms, such as: fileless malware, attacks that abuse legitimate tools, credential theft, and lateral movement within internal networks.

From the EDR defense mechanism and the attack methods used by attackers to bypass the mechanism, we can understand the core of the EDR defense mechanism, which is to instantly detect suspicious behavior of endpoints and analyze and block malicious operations. In order to prevent the aforementioned attackers from bypassing EDR defenses, an effective threat hunting solution is needed to provide accurate and effective defense by detecting abnormal behavior of endpoints.

##Conclusion
As employees of corporate organizations use endpoint devices such as laptops more frequently to perform daily work, measures to address the aforementioned threats become even more necessary. Continue reading this series of articles "[How Cybercriminals Bypass EDR — And What Your Company Should Do (2)](https://teamt5.org/en/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website)" to learn how enterprises and organizations can use compromise assessment to effectively respond and reduce cybersecurity risks.

>Welcome to [contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) for a free trial.

 

####Reference
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/

How Cybercriminals Bypass EDR — And What Your Company Should Do (1)

近年來，網路攻擊手法更顯複雜，有些甚至繞過傳統 EDR 的防禦機制。

例如，攻擊手法 HookChain 並不會直接停用 API hook，而是操縱 API 流程，進而繞過 EDR 的監控功能；該技術具有極高的 EDR 檢測繞過率，經測試確認的成功率達 88% [1]。此外，還出現各類破壞 EDR 的惡意軟體 [2]，及濫用硬體斷點 [3] 、使用低權限用戶 [4] 等繞過 EDR 防禦的攻擊手法。

在此系列文章中，將首先分析攻擊者如何繞過 EDR，入侵企業系統；並在[另一篇文章](https://teamt5.org/tw/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website)中，進一步說明企業與組織應對此類攻擊的對策。

##攻擊者繞過 EDR 機制的攻擊手法
![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_tw_pic01.png)

<center>攻擊者繞過 EDR 機制的攻擊手法</center>

EDR 由以下組成：
- **代理程式（Agent）**：是安裝在每個端點並監控系統運作的軟體，負責接收感測器（Sensor）所收集到的遙測數據，並將其發送到管理伺服器，以進行分析。
- **管理伺服器（Management Console）**：全面分析所收集的資料，辨識攻擊和事件的跡象。

為檢測攻擊的跡象，EDR 偵測面向主要關注在：應用程式和使用者行為（如可疑程式的執行和不尋常的權限提升）；系統與外部（command & control）伺服器的異常通訊；分析 registry 的變化、腳本執行和記憶體中的異常行為。


然而，道高一尺，魔高一丈，攻擊者也持續開發新的規避手法，以繞過 EDR 監控，比如：

**1. 停止 Agent 本身運作：強制終止 EDR 的代理程式** 
具體做法為使用 BYOVD（Bring Your Own Vulnerable Driver，自帶易受攻擊的驅動程式），攻擊者將存在漏洞的核心驅動程式植入目標系統，以提升權限。藉此，攻擊者可存取核心，並停用如 EDR 等資安產品，即喪失端點的可視性，攻擊者得以進行惡意行動。 

**2. 停止紀錄功能：停用日誌紀錄並延遲偵測** 
攻擊者也會採取設法規避 Windows 事件追蹤（Event Tracing for Windows, ETW）。ETW 是 Windows 紀錄系統操作的機制，但攻擊者可以停用它，以防止留下可疑操作的紀錄；更會阻止 EDR 偵測到攻擊跡象，大幅影響 EDR 的偵測能力。 

攻擊者也可藉以下方式干擾 EDR 正常運作：

**3. 停用 EDR 監控：秘密移除 EDR 監控中的端點以繞過監控** 
由於 API 是允許程式使用作業系統和應用程式提供功能之間的接口，EDR 通常會連結重要的系統 API 來監控攻擊跡象，攻擊者可透過停用 API hook 技巧避開 EDR 監控。

**4. 偽造功能使用的歷史紀錄：使惡意軟體看起來像合法軟體** 
Call Stack Spoofing（呼叫堆疊偽造）是一種透過欺騙 Call Stack（即程式的執行歷史），使攻擊者的行為像是從受信任程式執行動作之的惡意手法，EDR 無法偵測。

此外，利用 EDR 監控範圍以外區域之方法包括：

**5. 利用 EDR 預設不監控的範圍，進而濫用某些不受 EDR 監控的軟體行為等** 
攻擊者也可能濫用纖程（Windows fiber），為一種比 thread 更輕量的程式切換機制，但有些 EDR 不監控此操作。攻擊者可以利用此特性執行惡意程式碼，同時避免 EDR 偵測。

最後，攻擊者也會採取一些策略來破壞或阻止伺服器通訊，例如：

**6. 切斷與 EDR 伺服器的通訊，阻止傳輸端點的偵測結果並停用監控** 
EDR 通常在與管理伺服器通訊時，發送偵測結果，但攻擊者可以阻止這種通訊並隔離 EDR，以阻止 EDR 回報異常情況。這實際上阻止管理層了解端點狀況，導致失去監控能力。


攻擊者透過單獨或混合使用前述方法，可以繞過 EDR 偵測，並長時間暗中潛伏，最終實現他們的惡意目標。這可能造成嚴重損害，例如客戶資料或商業機密外洩、受到勒索軟體攻擊，造成營運中斷，影響業務運作，更可能失去合作夥伴和客戶的信任。特別是如果攻擊持續較長時間，損害範圍將進一步擴大，企業與組織進行應變、復原的措施，將更顯困難。

##繞過 EDR 偵測的攻擊鏈
![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_tw_pic2.png)

<center>EDR 是建立在網路入侵無可避免的假設下，設計上著重即時偵測傳統網路安全措施無法完全阻止的進階攻擊</center>

從[網路攻擊鏈](https://teamt5.org/tw/posts/what-is-cyber-kill-chain/?utm_source=blog&utm_medium=website) 7 個步驟，可了解繞過 EDR 偵測的攻擊者如何滲透系統，達成最終目的：

1. **偵察（Reconnaissance）**：攻擊者首先調查有關目標個人或組織的資訊。
2. **武裝（Weaponization）**：攻擊者準備攻擊工具和惡意軟體，以及入侵後使用它們的手段。例如攻擊者利用帶有惡意腳本的偽造文檔，作為網路釣魚電子郵件的附件。
3. **遞送（Delivery）**：將準備好的攻擊工具傳送到目標端點。
4. **利用（Exploitation）**：執行所投放的惡意軟體或其他攻擊檔案，並利用漏洞滲透目標系統。例如當被鎖定的目標員工開啟附件，並執行惡意腳本時，惡意腳本會從外部伺服器下載並在背景執行。此時，EDR 監控功能被停用。
5. **安裝（Installation）**：安裝惡意程式，以允許攻擊者獲得長期存取權限。
6. **發令與控制（Command & Control）**：攻擊者透過外部 Command & control（C&C）伺服器，遠端控制受駭端點。例如攻擊者使用合法公有雲從外部發送指令，不易被資安產品判斷為惡意行為。
7. **針對目標的行動（Actions on Objectives）**：攻擊者入侵的目標是竊取資訊、破壞業務營運，或部署勒索軟體，最終導致該企業與業務相關的文件、個人資訊、身分驗證資訊和其他資料長期被竊取。


傳統的防毒軟體和防火牆可以在上述的「遞送」到「利用」過程中，應對攻擊者使用已知惡意軟體或特定網路路由器的攻擊，而 EDR 可藉由即時監控、分析及行為偵測，避免攻擊發生。然而，攻擊者不斷改進方法，以繞過 EDR 的機制，如：無檔案惡意軟體（fileless malware）、濫用合法工具的攻擊、憑證盜竊、內部網路的橫向移動。

從 EDR 的防禦機制、攻擊者繞過該機制的攻擊手法，可了解 EDR 防禦機制核心，為即時偵測端點的可疑行為，並分析、阻擋惡意操作。為了防禦前述攻擊者繞過 EDR 防禦，需要有效的威脅狩獵解決方案，透過偵測端點的異常行為等，精準且有效防禦。


##結語

當企業組織員工更頻繁使用筆電等端點裝置進行日常工作，應對前述威脅的措施更顯必要。繼續閱讀本系列文章「[繞過 EDR 防禦的攻擊手法有哪些？企業該如何應對？(2)](https://teamt5.org/tw/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website)」，瞭解企業與組織如何採用入侵評估（compromise assessment），進行有效應對，降低資安風險。


>歡迎[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，免費試用。

 

####參考資料
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/

繞過 EDR 防禦的攻擊手法有哪些？企業該如何應對？(1)

近年、サイバー攻撃の手法はますます複雑化しており、中には従来のEDRの防御機能を回避するものも存在します。
 
たとえば、「HookChain」という攻撃手法は、APIフックを直接無効化するのではなく、APIの処理フローそのものを操作することで、EDRの監視機能を回避します。この技術は非常に高いEDR回避率を誇り、検証の結果、成功率は88%に達することが確認されています [1]。
 さらに、EDRを破壊する各種マルウェアの出現 [2]、ハードウェアブレークポイントの悪用 [3]、低権限ユーザーの利用 [4] など、EDRの防御をすり抜けるさまざまな攻撃手法が報告されています。
 
本シリーズでは、まず攻撃者がどのようにEDRを回避して企業システムに侵入するのかを分析し、[続く記事](https://teamt5.org/jp/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website)にて、企業や組織がこのような攻撃にどのように対処すべきかを詳しく解説します。

##攻撃者がEDRを回避する主な攻撃手法

![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_jp_01.jpg)
<center>図解：攻撃者がEDRの仕組みを回避する攻撃手法</center>

 

EDR（エンドポイント検出・対応）は、以下の主要なコンポーネントで構成されています：
- **エージェント（Agent）**：各エンドポイントにインストールされるソフトウェアで、システムの動作を監視します。センサー（Sensor）が収集したテレメトリーデータを受け取り、それを管理サーバーに送信して解析を行います。
- **管理サーバー（Management Console）**：収集されたデータを総合的に分析し、攻撃やインシデントの兆候を識別します。

EDRは攻撃の兆候を検出するため、以下のような観点に重点を置いて監視を行います：
- アプリケーションやユーザーの挙動（例：不審なプログラムの実行や異常な権限昇格）
- システムと外部のC2（command & control）サーバーとの異常通信
- レジストリの変更、スクリプトの実行、メモリ上の不正動作の分析

 

しかし、「道高ければ魔盛んなり（＝技術が進歩すれば攻撃者もそれに対抗して進化する）」と言われるように、攻撃者もEDRの監視を回避するために、日々新たな手法を開発しています。たとえば：

**1. エージェント自体の停止：EDRエージェントの強制終了** 
攻撃者は、EDRのエージェント（Agent）プロセスを直接停止させることで、EDRの監視機能を無力化することがあります。
 具体的な手法としては、「BYOVD（Bring Your Own Vulnerable Driver）」が用いられます。これは、既知の脆弱性を持つカーネルドライバーを攻撃者自身が持ち込み、対象システムに導入することで権限昇格を行うものです。
 この方法により、攻撃者はカーネル空間へのアクセスを獲得し、EDRなどのセキュリティ製品を停止・無効化できます。これによってエンドポイントの可視性が失われ、攻撃者は気付かれずに悪意のある行動を取ることが可能になります。
 
** 2. ログ記録機能の無効化：イベントログの停止と検知の遅延** 
攻撃者は、Windowsのイベントトレース機構である「ETW（Event Tracing for Windows）」の回避を試みることがあります。
 ETWは、システム操作のログを収集・記録する仕組みであり、EDRが不審な挙動を検知するための重要な情報源です。
 しかし、攻撃者がETWを無効化すると、不審な行動の記録が残らなくなり、EDRの検出能力が大幅に低下します。これにより、攻撃の兆候がログに残らず、検知までの時間が遅延し、被害が拡大する恐れがあります。
 
攻撃者がEDRの正常な機能を妨害するその他の手法： 
**3. EDRの監視を無効化：監視対象のエンドポイントを密かに除外** 
EDRは、攻撃の兆候を検出するために、重要なシステムAPIをフック（hook）して監視を行います。APIとは、プログラムがOSやアプリケーションの機能を利用するためのインターフェースです。

攻撃者は、これらのAPIフックを無効化することで、EDRの監視を回避できます。このようにして、EDRがエンドポイントの動作を追跡できなくなり、攻撃の痕跡を隠すことが可能になります。

**4. 機能使用履歴の偽装：マルウェアを正規ソフトに見せかける** 
「Call Stack Spoofing（コールスタック偽装）」は、攻撃者の行為をあたかも信頼されたプログラムから実行されたかのように見せかける手法です。
 この手法では、プログラムの実行履歴である「コールスタック」を改ざんし、EDRが不審な動作として検知しにくくします。結果として、悪意のある挙動が正規の操作に見えるため、EDRの監視をすり抜けることができます。

**5. EDRの監視外を利用した攻撃：未監視領域の悪用** 
一部の攻撃者は、EDRがデフォルトで監視していない範囲を悪用することもあります。
 たとえば、「Windows Fiber（ファイバー）」と呼ばれる、スレッドよりも軽量な実行単位を使った切り替え機構を用いる手法です。
 多くのEDRはファイバーの挙動を監視していないため、攻撃者はこの技術を利用して悪意のあるコードを実行し、検知を回避できます。

最後に、攻撃者はサーバーとの通信を妨害・遮断するための戦略を取ることもあります。例えば： 
**6. EDRサーバーとの通信を遮断し、検知結果の送信を妨害・監視を無効化** 
EDRは通常、各エンドポイントで検知した情報を管理サーバーに送信することで、攻撃の兆候をリアルタイムで報告します。
 しかし、攻撃者はこの通信を遮断・妨害することで、EDRをネットワーク上で孤立させ、異常の報告を不能にします。これにより、管理者はエンドポイントの状態を把握できなくなり、実質的に監視機能が無力化されてしまいます。

攻撃者は、ここまで紹介したようなEDR回避手法を**単独または組み合わせて使用**することで、EDRによる検知をすり抜け、長期間にわたりネットワーク内に潜伏することが可能になります。

 その結果、最終的な悪意ある目的を達成するに至ることも少なくありません。

このような攻撃が成功した場合、企業・組織には以下のような**深刻な被害**が及ぶ可能性があります：

- 顧客情報や企業秘密の流出
- ランサムウェア攻撃による業務停止
- サービス提供の中断による売上損失
- 顧客や取引先からの信頼喪失
- コンプライアンス違反による法的責任や制裁

特に、攻撃が長期間継続した場合には、被害の範囲はさらに拡大し、対応・復旧にかかる時間とコストは膨大になります。企業の信用や競争力の低下にもつながりかねず、抜本的な対応策が求められます。

##EDR検知を回避する攻撃チェーン
![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_jp_02.jpg)

<center>図解：EDRは、「侵入は完全には防げない」という前提に基づいて設計されており、従来のネットワークセキュリティでは防ぎきれない高度な攻撃を、リアルタイムで検知することに重点を置いている。</center>

[ネットワーク攻撃チェーン](https://teamt5.org/jp/posts/what-is-cyber-kill-chain/?utm_source=blog&utm_medium=website)の7つのステップから、EDR（エンドポイント検知・対応）を回避して攻撃者がどのようにシステムに侵入し、最終目的を達成するかを理解できます：

**1.偵察（Reconnaissance）：**
攻撃者は最初に、対象の個人または組織に関する情報を収集します。
 
**2.武装（Weaponization）：**
攻撃者は攻撃に使用するツールやマルウェアを準備し、それらを侵入後にどのように使うかを計画します。たとえば、攻撃者は悪意のあるスクリプトを含んだ偽の文書を作成し、フィッシングメールの添付ファイルとして使用します。

**3.配信（Delivery）：**
 準備した攻撃ツールをターゲットのエンドポイントへ送信します。

**4.悪用（Exploitation）：**
送られたマルウェアや他の攻撃ファイルが実行され、脆弱性を突いてターゲットのシステムへ侵入します。たとえば、標的となった社員が添付ファイルを開き、悪意あるスクリプトを実行すると、そのスクリプトが外部サーバーからマルウェアをダウンロードし、バックグラウンドで実行されます。この時点で、EDRの監視機能は無効化されています。

**5.インストール（Installation）：**
マルウェアがインストールされ、攻撃者が長期間にわたってアクセスできる状態が構築されます。
 
**6.指令と制御（Command & Control）：**
攻撃者は外部のC&C（Command & Control）サーバーを通じて、侵入したエンドポイントを遠隔操作します。たとえば、攻撃者は正規のパブリッククラウドを利用してコマンドを送信するため、セキュリティ製品による悪意ある行為の検知を回避しやすくなります。
 
**7.目的達成のための行動（Actions on Objectives）：**
攻撃者の最終目的は、情報の窃取、業務の破壊、またはランサムウェアの展開です。これにより、企業の業務関連文書、個人情報、認証情報などのデータが長期にわたって窃取される恐れがあります。

従来のアンチウイルスソフトやファイアウォールは、「配信」から「悪用」の過程において、既知のマルウェアや特定のネットワークルーターを狙った攻撃に対応可能です。一方で、EDRはリアルタイムの監視、分析、および振る舞い検知を通じて攻撃を未然に防ぎます。しかし、攻撃者はEDRの仕組みを回避する手法を絶えず進化させています。例えば、ファイルレスマルウェア（fileless malware）、正規ツールの悪用、認証情報の窃取、内部ネットワークでの横移動などが挙げられます。

EDRの防御メカニズムと、それを回避しようとする攻撃者の手法を理解することで、EDRの核となる役割が明らかになります。それは、エンドポイント上の疑わしい振る舞いをリアルタイムに検知し、解析し、悪意ある動作を阻止することです。前述の攻撃者によるEDR回避を防ぐためには、効果的な脅威ハンティング（Threat Hunting）ソリューションが必要です。これはエンドポイント上の異常な振る舞いを検出し、精度高くかつ効果的に防御する手段となります。


##まとめ
企業や組織の従業員がノートパソコンなどのエンドポイント機器を日常業務でより頻繁に使用する中で、前述の脅威に対する対策の重要性はますます高まっています。
本シリーズ記事「[EDR防御を回避する攻撃手法とは？企業はどう対応すべきか？（2）](https://teamt5.org/jp/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website)」をぜひご覧いただき、企業や組織がどのように侵害評価（Compromise Assessment）を活用し、効果的に対処してサイバーリスクを低減できるかご参照ください。

>お気軽に[お問い合わせ](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)ください。無料トライアルもご利用いただけます。


####参考文献
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/

EDRを回避する攻撃手法にはどのようなものがあるのか？企業はどのように対策すべきか？ (1)

In recent years, network attack methods have become more complex, and some have even bypassed traditional EDR defense mechanisms.

For example, the attack technique HookChain does not directly disable the API hook, but instead manipulates the API process to bypass the EDR monitoring function; this technology has an extremely high EDR detection bypass rate, with a demonstrated success rate of 88% [1]. In addition, there are various types of malware that damage EDR [2], as well as attack methods that bypass EDR defenses, such as abusing hardware breakpoints [3] and using low-privilege users [4].

[The previous article](https://teamt5.org/en/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website) in this series has analyzed how attackers bypass EDR and invade enterprise systems; this article will further explain how enterprises and organizations can respond, particularly through the use of compromise assessments.

##How to effectively deal with attacks that bypass EDR
To effectively defend against hidden threats that bypass EDR detection, multi-faceted cybersecurity defense solutions must support and reinforce each other.

**1. "EDR" detects abnormal behavior in real time**
- Real-time detection through continuous monitoring
- Wide-range collection of OS events and process operations for further analysis
- Automatically detect and prevent suspicious behavior using rules and machine learning

**2. Active “Threat hunting”**
- Explore potential risks where necessary
- Actively discover known and unknown suspicious behaviors
- Analysts conduct detailed analysis of logs, etc. to identify undetectable threats

**3. "Rapid Forensic" for cybersecurity status check**
- When a cybersecurity incident occurs, detect it through lightweight digital forensic tools
- Sample check of memory and critical file status
- Detect anomalies early and determine whether a full investigation is needed

Therefore, in order to supplement the existing EDR detection and defense coverage, an **intelligence-driven** threat identification platform has become an indispensable solution. By collecting various data (such as logs and memory data) and analyzing the results, organizations can transform these insights into intelligence-driven threat hunting, effectively identifying latent and hidden threats that bypass EDR detection to strengthen the information cybersecurity posture.

At the same time, the threat forensics platform must be capable of collecting and analyzing live system memory data to detect traces of intrusions that traditional EDR solutions might easily overlook. From the perspective of the process from malware intrusion to execution, when the CPU is executing malware deployed in memory, EDR can detect and control suspicious behavior in real time. However, if you can identify and hunt for threats through regular memory scanning, you can prevent malicious code from being extracted into the memory early and block the execution of malicious software in advance.

TeamT5's **intelligence-driven** "[ThreatSonar - Threat Forensic Analysis Platform](https://teamt5.org/en/products/threatsonar/?utm_source=blog&utm_medium=website)" has memory scanning and forensics features. ThreatSonar can quickly detect APT attacks and cyber espionage activities based on the latest threat intelligence, improving cybersecurity protection effectiveness. At the same time, ThreatSonar can quickly and fully obtain critical data from disks and memory, conduct a comprehensive analysis of past and present behaviors, identify indicators of future threats, and quickly check whether there are any suspicious behaviors, allowing the cybersecurity team to effectively handle incidents. In addition, ThreatSonar does not require a cumbersome installation process and has the advantage of lightweight deployment. It can run on Windows, Linux or Mac OS, ensuring that it can be quickly deployed and used in large-scale environments.

##ThreatSonar in Action
Many companies focus on the defense against APT attacks and unknown threats. In addition to installing EDR for timely threat detection, they also conduct regular intrusion assessments. From the previous analysis of [the case of EDR bypass attack method](https://teamt5.org/en/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website), we can see that although the enterprise had EDR and anti-virus software installed, the attacker was able to disable EDR monitoring, allowing data to be stolen undetected for up to a year. In view of this, the company used the ThreatSonar threat forensics analysis platform to uncover potential threats and planned to conduct a compromise assessment on 10,000 endpoints within two weeks to quickly identify possible hacking paths and the scope of impact. The company implemented the following detection methods:
- Detect APT attack signatures with Yara rules (including IoC)
- Investigate fake documents impersonating specific organizations, 2,268 Ruby-related malicious files, Rokrat malware variants, API hook bypass

The testing process consists of five stages: "Environment Survey", "Deployment", "Scan & Auto-Analysis", "Research and Analysis", and "Reports":
![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2_pic.png)


This survey shows the benefits of using a threat investigation tool like ThreatSonar:
- Accelerate investigation: In just two weeks, the main hacked devices, the scope of the hack, and the intrusion route can be identified.
- Minimize damage: Prevents the damage caused by information theft from expanding through rapid detection.

##Conclusion
In order to effectively prevent attacks that bypass EDR detection, it is imperative to adopt effective corresponding defense mechanisms. Through the ThreatSonar threat forensics analysis platform, regular threat hunting and memory forensics can be achieved to realize multi-layered cybersecurity defense, while strengthening the ability to proactively discover potential threats in normal times.

[Threat forensic analysis platform "ThreatSonar" ](https://teamt5.org/en/products/threatsonar/?utm_source=blog&utm_medium=website)is a solution developed by TeamT5 that combines threat intelligence analysis results with practical attack and defense experience to help the industry accurately grasp the source and spread of threats, hunt for unknown potential threats, strengthen in-depth defense, protect endpoint security, and avoid possible damage caused by future threats. ThreatSonar features include:
- Intelligence-driven threat forensics
- Lightweight deployment without affecting daily operations
- Offers the whole picture of the incident, shortening the investigation time
- Uncover the malicious programs hidden in the memory
- Threat hunting with visualization of correlating potential compromised endpoints


>Welcome to [contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) for a free trial.

 

####Reference
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/

How Cybercriminals Bypass EDR — And What Your Company Should Do (2)

近年來，網路攻擊手法更顯複雜，有些甚至繞過傳統 EDR 的防禦機制。

例如攻擊手法 HookChain 並不會直接停用 API hook，而是操縱 API 流程，進而繞過 EDR 的監控功能；該技術具有極高的 EDR 檢測繞過率，經測試證實的成功率達 88% [1]。此外，還出現各類破壞 EDR 的惡意軟體 [2]，及濫用硬體斷點 [3] 、使用低權限用戶 [4] 等繞過 EDR 防禦的攻擊手法。

在[本系列先前的文章](https://teamt5.org/tw/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website)已分析過攻擊者如何繞過 EDR，入侵企業系統；本篇文章將進一步說明企業與組織如何應對，特別是透過採用入侵評估（compromise assessment）工具。

##該如何有效應對繞過 EDR 的攻擊？
要能有效防禦「繞過 EDR 偵測」的隱藏威脅，必須透過多面向的資安防禦解決方案互相支援補強。

**1. 即時偵測異常行為的「EDR」**
- 透過持續監控，實現即時檢測
- 廣泛收集作業系統事件和進程操作，進一步分析
- 利用規則和機器學習，自動偵測和預防可疑行為

**2. 化被動為主動的「威脅狩獵」**
- 在必要情況下，探索可能的潛在風險
- 主動挖掘已知與未知的可疑行為
- 分析師對日誌等進行詳細分析，以識別無法偵測到的威脅

**3. 快速檢測資安狀況的「威脅快篩」**
- 當資安事件發生，透過輕量化數位鑑識工具檢測
- 記憶體和關鍵文件狀態的樣本檢查
- 及早發現異常，並確定是否需要進行全面調查

因此，為補足現有 EDR 偵測與防禦守備範圍，**情資導向**的威脅鑑識平台成為不可或缺的解決方案。透過收集各種資料（例如日誌和記憶體資訊），並分析結果，轉化為情資導向的威脅狩獵，能夠有效找出繞過 EDR 偵測的潛伏、隱匿威脅，以強化資安態勢。

同時，威脅鑑識平台要能取得且分析正在運行中的系統記憶體資料，識別出傳統 EDR 容易忽略的入侵痕跡。從惡意軟體入侵到執行的過程來看，當 CPU 正執行部署於記憶體中的惡意軟體運作時，EDR 可以即時偵測並控制可疑行為。然而若能透過定期**記憶體掃描鑑識**，獵捕威脅，更可及早防止惡意程式碼被提取到記憶體，先一步防堵惡意軟體執行。

TeamT5 的**情資導向**「ThreatSonar 威脅鑑識分析平台」具備**記憶體掃描鑑識特色**。ThreatSonar 能依最新的威脅情資，快速偵測 APT 攻擊和網路間諜活動，提高安全防護效能。同時 ThreatSonar 能快速、充分獲取磁碟與記憶體的關鍵資料，對過去、現在的行為進行全面分析，辨識未來可能成為威脅的指標，快速檢查是否有任何可疑行為，讓資安團隊能有效處理事件。此外，ThreatSonar 無需繁瑣的安裝過程，且具有輕量部署的優勢，無論在 Windows、Linux 或 Mac OS 平台上均可運行，確保可在大規模環境快速部署使用。

##ThreatSonar 的實務應用
許多企業注重 APT 攻擊和未知威脅的防禦，除了安裝 EDR 做及時威脅偵測外，也同時定期進行入侵評估。從之前分析[繞過 EDR 攻擊方式的案例](https://teamt5.org/tw/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website)中可知，企業雖安裝了 EDR 與防毒軟體，但攻擊者卻能停用 EDR 監控，致使資料被竊取長達一年的時間而未被發現。有鑑於此，企業利用 ThreatSonar 威脅鑑識分析平台挖掘潛藏威脅，計畫於兩週內，對 10,000 個端點裝置進行威脅檢測，以利快速辨識可能受駭途徑及影響範圍。該公司採取以下檢測方式：
- 以 Yara 規則（包含 IoC）檢測 APT 攻擊特徵
- 調查冒充特定組織的偽造文件、2,268 個 Ruby 相關惡意檔案、Rokrat 惡意軟體變種、API hook 繞過處理

透過「環境盤點」、「部署」、「掃描暨自動分析」、「調查與專家分析」、「報告產出」五個階段，進行完整檢測：
![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2_tw_pic.png)

此次調查顯見使用 ThreatSonar 此類威脅調查工具的效益：
- 快速：只需兩週，即可識別主要受駭設備、受駭範圍和入侵路線。
- 有效：藉由快速檢測，防止資訊被竊所造成的損害擴大。

##結語
要能有效防堵繞過 EDR 偵測的攻擊行為，採取有效的對應防禦機制勢在必行。透過 ThreatSonar 威脅鑑識分析平台，可達到定期威脅獵捕和記憶體鑑識，實現多層防禦的資安防禦，同時，加強平時主動發現潛在威脅的能力。

[ThreatSonar 威脅鑑識分析平台](https://teamt5.org/tw/products/threatsonar/?utm_source=blog&utm_medium=website)是 TeamT5 將威脅情資分析成果結合實務攻防經驗，落實於此解決方案，協助產業精準掌握威脅來源與擴散途徑，獵捕未知的潛在威脅，強化縱深防禦、保護端點安全，避免日後威脅發生可能帶來的損害。ThreatSonar 特點包含：
- 情資導向的威脅鑑識
- 輕量部署，不影響日常運營
- 提供事件全貌，縮短調查時間
- 發現隱藏在記憶體中的惡意程式
- 透過可視化，關聯潛在受駭端點進行威脅狩獵

>歡迎[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，免費試用。

 

####參考資料
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/

繞過 EDR 防禦的攻擊手法有哪些？企業該如何應對？(2)

近年、サイバー攻撃の手法はますます複雑化しており、中には従来のEDRによる防御を回避するものも見られます。

たとえば、「HookChain」と呼ばれる攻撃手法は、APIフックを直接無効化するのではなく、APIの処理フローを操作することでEDRの監視機能を回避します。この技術はEDRの検知を非常に高い確率ですり抜けることができ、検証テストでは成功率が88%に達したと報告されています [1]。そのほかにも、EDRを破壊するマルウェア [2] や、ハードウェアブレークポイントの悪用 [3]、低権限ユーザーの利用 [4] など、EDRの防御を回避するさまざまな攻撃手法が登場しています。

[本シリーズの前回の記事](https://teamt5.org/jp/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website)では、攻撃者がどのようにEDRを回避して企業システムへ侵入するかについて分析しました。今回の記事では、企業や組織がそれにどのように対応すべきか、特に「コンプロマイズ・アセスメント（compromise assessment）」ツールを活用する方法について詳しく解説します。

##EDRを回避する攻撃にどう効果的に対応するか？

「EDRの検知を回避する」隠れた脅威を効果的に防御するためには、多角的なセキュリティ対策ソリューションを相互に補完し合う必要があります。

**1. 異常な挙動をリアルタイムで検知する「EDR」** 
- 継続的な監視により、即時の検出を実現
- オペレーティングシステムのイベントやプロセスの操作を広範囲に収集・分析
- ルールや機械学習を活用し、不審な行動を自動で検出・防止

**2. 受動的対応から能動的防御へ：「脅威ハンティング」** 
- 必要に応じて、潜在的なリスクの可能性を探る
- 既知・未知の不審な行動を積極的に発掘
- アナリストがログなどを詳細に分析し、EDRでは検出できない脅威を特定

**3. セキュリティ状況を迅速に把握する「脅威スクリーニング」** 
- セキュリティインシデント発生時に、軽量なデジタルフォレンジックツールで迅速にチェック
- メモリや重要ファイルの状態をサンプル検査
- 異常を早期に発見し、全面的な調査の必要性を判断


そのため、既存のEDRによる検知・防御の範囲を補完するために、**脅威インテリジェンス主導**の脅威分析プラットフォームは不可欠なソリューションとなっています。ログやメモリ情報など、さまざまなデータを収集・分析し、それを脅威インテリジェンスに変換して脅威ハンティングに活用することで、EDRの検知を回避する潜伏・隠れた脅威を効果的に発見し、セキュリティ体制を強化することが可能になります。

同時に、脅威分析プラットフォームには、実行中のシステムメモリデータを取得・分析し、従来のEDRが見逃しやすい侵害の痕跡を特定できる能力が求められます。マルウェアの侵入から実行までのプロセスにおいて、CPUがメモリ上に展開されたマルウェアを実行している際には、EDRは不審な動作を即時に検出・制御できます。しかし、定期的なメモリスキャンとフォレンジックを行うことで、マルウェアがメモリに読み込まれる前に脅威を捕捉し、より早い段階で実行を防ぐことが可能になります。

TeamT5が提供する**脅威インテリジェンス主導**の「ThreatSonar 脅威分析プラットフォーム」は、**メモリスキャンとフォレンジック**を備えた特長があります。ThreatSonarは最新の脅威インテリジェンスに基づき、APT攻撃やサイバースパイ活動を迅速に検出し、セキュリティの有効性を高めます。また、ディスクやメモリ上の重要データを高速かつ完全に取得し、過去と現在の挙動を総合的に分析することで、将来の脅威の兆候を特定し、不審な活動の有無を即時に確認できます。さらに、ThreatSonarは煩雑なインストール作業が不要で、軽量かつ迅速な導入が可能であり、Windows、Linux、Mac OS いずれの環境でも動作し、大規模な環境への迅速な展開を実現します。

##ThreatSonar の実務活用
多くの企業は、APTや未知の脅威に対する防御を重視しており、EDRによるリアルタイムな脅威検知に加えて、定期的にコンプロマイズ・アセスメント（侵害評価）も実施しています。過去に分析された[EDR回避攻撃の事例](https://teamt5.org/jp/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website)からも明らかなように、企業がEDRやアンチウイルスソフトを導入していても、攻撃者がEDRの監視機能を無効化し、1年もの間、機密データが盗まれていたケースが確認されています。このような状況を受けて、企業は ThreatSonar 脅威鑑識分析プラットフォーム を活用し、潜在する脅威を洗い出すために、2週間以内に10,000台のエンドポイントデバイスを対象とした脅威スキャン を実施し、侵害の経路や影響範囲を迅速に特定しようとしています。

この企業では、以下の検出手法を採用しています：
- Yaraルール（IoCを含む） によるAPT攻撃の特徴検出
- 特定の組織になりすました偽装文書の調査、2,268件のRuby関連マルウェアファイル のスキャン、Rokratマルウェアの亜種 および API hook回避手法の分析

 

「環境の棚卸し」、「展開」、「スキャンおよび自動分析」、「調査と専門家による解析」、「レポート作成」の5つのステップを通じて、包括的な脅威検出を実施します：

![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2_jp_01.jpg)

ThreatSonarのような脅威調査ツールを使用するメリットは以下です：
- **迅速さ**：わずか2週間で、主要な被害端末、被害範囲、および侵入経路を特定可能
- **有効性**：迅速な検出により、情報漏洩による被害の拡大を防止


##まとめ

EDRの検知を回避する攻撃を効果的に防ぐためには、有効な防御メカニズムを導入することが不可欠です。ThreatSonar 脅威鑑識分析プラットフォーム を活用することで、定期的な脅威ハンティングやメモリフォレンジックを実現し、多層的なセキュリティ防御を構築すると同時に、日常的に潜在的な脅威を能動的に発見する能力を強化できます。

[ThreatSonar](https://teamt5.org/jp/products/threatsonar/?utm_source=blog&utm_medium=website)は、TeamT5が脅威インテリジェンスの分析成果と実務における攻防経験を融合させて開発したソリューションであり、産業界が脅威の発生源や拡散経路を的確に把握し、未知の潜在的脅威を捕捉することを支援します。これにより、ディフェンスインデプス（縦深防御）を強化し、エンドポイントの安全を守り、将来的な脅威による被害発生を未然に防ぎます。

ThreatSonarの特徴は以下の通りです：
- インテリジェンス主導の脅威鑑識
- 軽量な導入で日常運用に影響を与えない
- インシデントの全体像を提供し、調査時間を短縮
- メモリ内に潜むマルウェアを検出
- 可視化機能により、潜在的に侵害された端末を関連付けて脅威ハンティングを支援

>お気軽に[お問い合わせ](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)ください。無料トライアルもご利用いただけます。

####参考文献
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/

EDRを回避する攻撃手法にはどのようなものがあるのか？企業はどのように対策すべきか？(2)

> We’re honored to be invited to deliver the speech, "Cybersecurity Dynamics in Asia: Case Studies of Ivanti Exploitation and Cross-Border Cyber Operations", at the ST Engineering CYBERSECURITY SUMMIT 2025.


China has been devoted their national resources to develop talents, capabilities and techniques in offensive cyber operations. Their successes are now recognized by so many CTI reports talking about their infiltration into entities around the whole world.

In this talk, we are going to use two case studies, including a global Ivanti exploitation activity in March 2025 and China's cyber espionage activities during the UA-RU conflict, to discuss China's motivation, achievement in cyber space.

See you there!

## Info
- **Date**: July 4, 2025
- **Time**: 14:30 - 16:00 (Breakout Track 2 - Cyber Threat Intelligence)
- **Venue**: 
Sands Expo & Convention Centre 
Roselle Simpor Ballroom, Level 4 
(10 Bayfront Ave, Singapore 018956) 
- **More info**: https://stenggcybersecuritysummit.sg/

【Speech】 TeamT5 will be at ST Engineering CYBERSECURITY SUMMIT 2025 (Singapore)

> TeamT5 杜浦數位安全很榮幸受邀於 ST Engineering CYBERSECURITY SUMMIT 2025 發表演講。
 
本次演講主題為「Cybersecurity Dynamics in Asia: Case Studies of Ivanti Exploitation and Cross-Border Cyber Operations」。我們觀察到中國投入國家資源，致力於培養攻擊性網路行動的人才、能力和技術。如今，許多威脅情資報告都指出中國達成其目標，並探討了中國對全球組織的滲透。

而本次演講將透過兩個案例研究，包括 2025 年 3 月的全球 Ivanti 漏洞活動和中國在美國-俄羅斯衝突期間的網路間諜活動，探討中國在網路空間的動機和事件。

期待與您現場相見，交流資安態勢看法。

## 演講資訊
- **日期**: 2025年7月4日
- **時間**: 14:30 - 16:00 (Breakout Track 2 - Cyber Threat Intelligence)
- **地點**: 
Sands Expo & Convention Centre 
Roselle Simpor Ballroom, Level 4 
(10 Bayfront Ave, Singapore 018956) 
 
- **官網**: https://stenggcybersecuritysummit.sg/

【演講資訊】TeamT5 即將參與 ST Engineering CYBERSECURITY SUMMIT 2025 (新加坡)

Events

>TeamT5 is a  leading brand in delivering Asia Pacific intelligence. Our CTI analyst took The New York Times’s interview and made comments. This is an expert of The New York Times's article. Read more at
 [The New York Times](https://www.nytimes.com/2025/06/19/world/europe/china-hackers-russia-war-ukraine.html)

The hacking campaign shows that, despite this partnership and years of promises not to hack each other, China sees Russia as a vulnerable target. In 2023, one group, known as Sanyo, impersonated the email addresses of a major Russian engineering firm in the hunt for information on nuclear submarines, according to TeamT5, a Taiwan-based cybersecurity research firm that discovered the attack last year and linked it to the Chinese government.

……

“China likely seeks to gather intelligence on Russia’s activities, including on its military operation in Ukraine, defense developments and other geopolitical maneuvers,” said Che Chang, a researcher with TeamT5.

……


[The New York Times] China Is Hacking Russia to Steal War Secrets

>亞太威脅情資專家 TeamT5 長期關注中國駭客族群與攻擊事件，接受紐約時報 (The New York Times)訪問，進行評論。本文為摘錄，完整文章請見 [The New York Times](https://www.nytimes.com/2025/06/19/world/europe/china-hackers-russia-war-ukraine.html)。

The hacking campaign shows that, despite this partnership and years of promises not to hack each other, China sees Russia as a vulnerable target. In 2023, one group, known as Sanyo, impersonated the email addresses of a major Russian engineering firm in the hunt for information on nuclear submarines, according to TeamT5, a Taiwan-based cybersecurity research firm that discovered the attack last year and linked it to the Chinese government.

……

“China likely seeks to gather intelligence on Russia’s activities, including on its military operation in Ukraine, defense developments and other geopolitical maneuvers,” said Che Chang, a researcher with TeamT5.



【The New York Times 採訪報導】China Is Hacking Russia to Steal War Secrets

News

Join TeamT5 and EclecticIQ for an exclusive webinar: “Strategic Intelligence: Translating APAC Threats to Business Risk” !

You may discover how to turn region-specific threat intelligence into actionable insights for smarter risk decisions. It’s a perfect opportunity for cybersecurity leaders navigating today’s complex APAC threat landscape.

###Webinar Info
- **Date:** July 9, 2025
- **Time: **11:00-12:00 (CEST) / 17:00-18:00 (CST)

- **Sign Up :** [**link**](https://www.brighttalk.com/webcast/20699/645001?utm_source=TeamT5&utm_medium=brighttalk&utm_campaign=645001)

- **Main topics: **
 - The strategic value of regional intelligence
 - The importance of threat intelligence from Asia-Pacific to European and US organizations
 - How to achieve faster identification of relevant threats and enhance threat hunting capabilities
 - Building a stronger security posture against APAC-specific threat actors

 
![](https://uploads.teamt5.org/upload/original/new-pic_july-9-webinar-automating-asia-pacific-cyber-threat-intelligence-at-scale.png)

[July 9 Webinar] Automating Asia-Pacific Cyber Threat Intelligence at Scale

We’re excited to share that we will be delivering a speech in the The Hague Threat Intelligence Exchange (Hague TIX 2025) where we’ll be discussing the latest Chinese state actors’s attack methods. 

Stay tuned for insights from our experts!

##About Speech
- **Date**: 2025 / 6 / 10
- **Venue**: George Maduroplein 1 (Madurodam), Den Haag, Netherlands

- **Topic**: KnockHuoDuo Unmasked: The Fruit of China's Evolving Zero-Day Exploitation Strategy
- **Speakers**: Charles Li (Chief Analyst), Greg Chen (Vulnerability Researcher), Yi-Chin Chuang (Cyber Threat Researcher)
- **Introduction**: 

In recent years, Chinese state actors have increasingly exploited zero-day vulnerabilities, surpassing all other nations combined. This surge reflects a deliberate policy shift since 2018, when China began systematically collecting vulnerabilities and treating them as national assets. Following this strategy, we identified an emerging Chinese state actor, KnockHuodou (UNC4841), specializing in vulnerability exploitation. Their expertise in pwning, binary exploitation, and reverse engineering has enabled some of the most sophisticated compromises. This presentation will reveal our research on KnockHuodou in 2024. 

We will start by introducing KnockHuodou and their recent campaigns, particularly their exploitation of zero-day vulnerabilities in edge devices. Next, we will present case studies to highlight the evolving threat they pose. KnockHuodou serves as a vivid example of how China-nexus actors can adopt the centralized vulnerability research in cyberattacks. In the last part of the speech, we will conclude with key implication based on our understanding of KnockHuodou, and how it represents the emerging Chinese cyber threats – because, as the saying goes, know the enemy and know yourself; in a hundred battles, you will never be in peril. We believe that intelligence is the best key for defending.

 

More details are at [the official website](https://www.thehagueprogram.nl/the-hague-tix/hague-tix-2025-welcome).

Intelligence-Driven Cyber Defense

PRODUCT

Designed for APT & Ransomware Protection

An Engine to Hunt down Intruders

A Portal to See Through the Chaos

Build your Anti-Ransomware Plan TODAY

Blog