Join TeamT5 for an insightful webinar: “Hackers Keep Evolving - How Proactive Threat Hunting Keeps Us Staying Ahead” !

###Webinar Info
- **Date**: August 14, 2025
- **Time**: 16:00-17:00 (GMT+8)

- **Sign Up :** [**link**](https://forms.gle/Nxyn6MkDoFqbr6DK6)

- **Main topics: **
 - **EDR Evasion Techniques in the Wild**: understand how modern attackers bypass endpoint defenses using stealthy techniques.
 - **Proactive Threat Hunting in Action**: learn how organizations are adopting threat hunting to uncover hidden threats, reduce dwell time, and gain deeper visibility beyond EDR.

 
![](https://uploads.teamt5.org/upload/original/pic_august-14-webinar-hackers-keep-evolving-how-proactive-threat-hunting-keeps-us-staying-ahead.jpg)

[August 14 Webinar] Hackers Keep Evolving - How Proactive Threat Hunting Keeps Us Staying Ahead

In recent years, cyber attack methods have become more complex, and some have even bypassed traditional EDR defense mechanisms.

For example, the attack technique HookChain does not directly disable the API hook, but manipulates the API process, achieving an 88% success rate in circumventing EDR defensive layers, rendering them ineffective against this evasive approach [1]. In addition, there are various types of malware that damage EDR [2], as well as attack methods that bypass EDR defenses, such as exploiting hardware breakpoints [3] and leveraging masquerading and path obfuscation to disguise malicious payloads as legitimate processes [4].

In this series of articles, we will first analyze how attackers bypass EDR and invade enterprise systems; and in [the other article](https://teamt5.org/en/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website), we will further explain the countermeasures that enterprises and organizations can take to deal with such attacks.

##Attackers’ methods of bypassing EDR detection

![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_pic01.png)

<center>Attackers’ methods of bypassing EDR detection</center>

EDR consists of the following elements:
- **Agent**: The software, installed on each endpoint, monitors system operations. It is responsible for receiving telemetry data collected by sensors and sending it to the management server for analysis.
- **Management Console**: Comprehensively analyzes collected data and identifies signs of attacks and incidents.

To detect signs of attack, EDR detection mainly focuses on: application and user behavior (such as the execution of suspicious programs and unusual privilege escalation); abnormal communication between the system and external (Command & control) servers; and analysis of registry changes, script execution, and abnormal behavior in memory.

However, attackers continuously develop new evasion techniques to bypass EDR detection, such as:

**1. Stopping the Agent itself: Forcefully terminate the EDR agent** 
The specific method is to use BYOVD (Bring Your Own Vulnerable Driver), where the attacker implants a vulnerable core driver into the target system to elevate permissions. This allows the attacker to access the core, disable EDR, and then carry out malicious actions.

**2. Stopping the logging function: Disable logging and delay detection** 
Attackers may also disable Event Tracing for Windows (ETW), a mechanism to record Windows system operations, to prevent records of suspicious operations from being left behind. This will prevent EDR from detecting signs of attack and greatly affect EDR's detection capabilities.

Attackers can also interfere with normal EDR operations by:

**3. Disabling EDR monitoring: Remove endpoints from EDR monitoring scope to bypass detection** 
Since APIs are interfaces that allow programs to use functions provided by the operating system and applications, EDRs usually connect to important system APIs to monitor signs of attacks. Attackers can avoid EDR monitoring by disabling API hook techniques, thereby creating an environment where malware can run freely.

**4. Impersonating the call stack of a function: Make malware look like legitimate software** 
Call Stack Spoofing is a malicious technique that spoofs the call stack (i.e. the execution history of a program) to make the attacker's actions appear to be executed from a trusted program. Attackers use this method to make it easier for EDR and cybersecurity products to ignore anomalies and fail to detect the attacker's malicious actions.

In addition, methods to leverage areas outside of EDR monitoring include:

**5. Exploiting areas without EDR monitoring by default and then abusing certain software behaviors not typically monitored by EDR** 
An attacker could also abuse Windows fibers, a lighter-weight program switching mechanism than threads, but some EDRs do not monitor this operation. Attackers can exploit this feature to execute malicious code while avoiding EDR detection.


Finally, attackers may also resort to tactics to disrupt or block EDR server communications, such as:

**6. Block communication with EDR server: prevent the transmission of endpoint detection results and disable monitoring** 
EDRs typically send detection results when communicating with management servers, but attackers can block this communication and isolate the EDR to prevent it from reporting anomalies. This effectively prevents the management from understanding the status of the endpoint and results in a loss of monitoring capability, creating an environment in which attackers can operate more freely.


By using these methods—individually or in combination—attackers can bypass EDR detection and remain hidden for extended periods, giving them time to carry out malicious activities. The consequences can be severe, including data breaches, theft of trade secrets, ransomware-related disruptions, and damage to critical systems. Such incidents can also erode trust among customers and partners. The longer an attack goes undetected, the greater the impact, making response and recovery significantly more difficult for organizations.

##How attackers break into systems

![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_pic2.png)

<center>EDR is built on the assumption that breaches are inevitable and is designed to detect advanced attacks in real time that cannot be fully prevented by traditional cybersecurity measures.</center>

From the 7 steps of the [cyber attack chain](https://teamt5.org/en/posts/what-is-cyber-kill-chain/?utm_source=blog&utm_medium=website), you can understand how attackers who bypass EDR detection can penetrate the system and achieve their ultimate goal:

1. **Reconnaissance**: The attacker first investigates information about the target (individual or organization).
2. **Weaponization**: The attacker's preparation of attack tools and malware, as well as the means to use them after a breach.
3. **Delivery**: Delivering the prepared attack tool to the target endpoint.
4. **Exploitation**: Executing dropped malware or other attack files and exploiting vulnerabilities to penetrate the target system.
5. **Installation**: The installation of malicious programs that allow attackers to gain long-term access.
6. **Command & Control**: The attacker remotely controls the hacked endpoint through an external Command & control (C&C) server.
7. **Actions on Objectives**: The attacker's goal is to steal information, disrupt business operations, or deploy ransomware.

Traditional antivirus software and firewalls can respond to attacks from attackers using known malware or specific network routers in the above-mentioned process from "delivery" to "exploitation", while EDR can prevent attacks from happening through real-time monitoring, analysis and behavioral detection. However, attackers continue to improve methods to bypass EDR mechanisms, such as: fileless malware, attacks that abuse legitimate tools, credential theft, and lateral movement within internal networks.

From the EDR defense mechanism and the attack methods used by attackers to bypass the mechanism, we can understand the core of the EDR defense mechanism, which is to instantly detect suspicious behavior of endpoints and analyze and block malicious operations. In order to prevent the aforementioned attackers from bypassing EDR defenses, an effective threat hunting solution is needed to provide accurate and effective defense by detecting abnormal behavior of endpoints.

##Conclusion
As employees of corporate organizations use endpoint devices such as laptops more frequently to perform daily work, measures to address the aforementioned threats become even more necessary. Continue reading this series of articles "[How Cybercriminals Bypass EDR — And What Your Company Should Do (2)](https://teamt5.org/en/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website)" to learn how enterprises and organizations can use compromise assessment to effectively respond and reduce cybersecurity risks.

>Welcome to [contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) for a free trial.

 

####Reference
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/

How Cybercriminals Bypass EDR — And What Your Company Should Do (1)

近年來，網路攻擊手法更顯複雜，有些甚至繞過傳統 EDR 的防禦機制。

例如，攻擊手法 HookChain 並不會直接停用 API hook，而是操縱 API 流程，進而繞過 EDR 的監控功能；該技術具有極高的 EDR 檢測繞過率，經測試確認的成功率達 88% [1]。此外，還出現各類破壞 EDR 的惡意軟體 [2]，及濫用硬體斷點 [3] 、使用低權限用戶 [4] 等繞過 EDR 防禦的攻擊手法。

在此系列文章中，將首先分析攻擊者如何繞過 EDR，入侵企業系統；並在[另一篇文章](https://teamt5.org/tw/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website)中，進一步說明企業與組織應對此類攻擊的對策。

##攻擊者繞過 EDR 機制的攻擊手法
![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_tw_pic01.png)

<center>攻擊者繞過 EDR 機制的攻擊手法</center>

EDR 由以下組成：
- **代理程式（Agent）**：是安裝在每個端點並監控系統運作的軟體，負責接收感測器（Sensor）所收集到的遙測數據，並將其發送到管理伺服器，以進行分析。
- **管理伺服器（Management Console）**：全面分析所收集的資料，辨識攻擊和事件的跡象。

為檢測攻擊的跡象，EDR 偵測面向主要關注在：應用程式和使用者行為（如可疑程式的執行和不尋常的權限提升）；系統與外部（command & control）伺服器的異常通訊；分析 registry 的變化、腳本執行和記憶體中的異常行為。


然而，道高一尺，魔高一丈，攻擊者也持續開發新的規避手法，以繞過 EDR 監控，比如：

**1. 停止 Agent 本身運作：強制終止 EDR 的代理程式** 
具體做法為使用 BYOVD（Bring Your Own Vulnerable Driver，自帶易受攻擊的驅動程式），攻擊者將存在漏洞的核心驅動程式植入目標系統，以提升權限。藉此，攻擊者可存取核心，並停用如 EDR 等資安產品，即喪失端點的可視性，攻擊者得以進行惡意行動。 

**2. 停止紀錄功能：停用日誌紀錄並延遲偵測** 
攻擊者也會採取設法規避 Windows 事件追蹤（Event Tracing for Windows, ETW）。ETW 是 Windows 紀錄系統操作的機制，但攻擊者可以停用它，以防止留下可疑操作的紀錄；更會阻止 EDR 偵測到攻擊跡象，大幅影響 EDR 的偵測能力。 

攻擊者也可藉以下方式干擾 EDR 正常運作：

**3. 停用 EDR 監控：秘密移除 EDR 監控中的端點以繞過監控** 
由於 API 是允許程式使用作業系統和應用程式提供功能之間的接口，EDR 通常會連結重要的系統 API 來監控攻擊跡象，攻擊者可透過停用 API hook 技巧避開 EDR 監控。

**4. 偽造功能使用的歷史紀錄：使惡意軟體看起來像合法軟體** 
Call Stack Spoofing（呼叫堆疊偽造）是一種透過欺騙 Call Stack（即程式的執行歷史），使攻擊者的行為像是從受信任程式執行動作之的惡意手法，EDR 無法偵測。

此外，利用 EDR 監控範圍以外區域之方法包括：

**5. 利用 EDR 預設不監控的範圍，進而濫用某些不受 EDR 監控的軟體行為等** 
攻擊者也可能濫用纖程（Windows fiber），為一種比 thread 更輕量的程式切換機制，但有些 EDR 不監控此操作。攻擊者可以利用此特性執行惡意程式碼，同時避免 EDR 偵測。

最後，攻擊者也會採取一些策略來破壞或阻止伺服器通訊，例如：

**6. 切斷與 EDR 伺服器的通訊，阻止傳輸端點的偵測結果並停用監控** 
EDR 通常在與管理伺服器通訊時，發送偵測結果，但攻擊者可以阻止這種通訊並隔離 EDR，以阻止 EDR 回報異常情況。這實際上阻止管理層了解端點狀況，導致失去監控能力。


攻擊者透過單獨或混合使用前述方法，可以繞過 EDR 偵測，並長時間暗中潛伏，最終實現他們的惡意目標。這可能造成嚴重損害，例如客戶資料或商業機密外洩、受到勒索軟體攻擊，造成營運中斷，影響業務運作，更可能失去合作夥伴和客戶的信任。特別是如果攻擊持續較長時間，損害範圍將進一步擴大，企業與組織進行應變、復原的措施，將更顯困難。

##繞過 EDR 偵測的攻擊鏈
![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_tw_pic2.png)

<center>EDR 是建立在網路入侵無可避免的假設下，設計上著重即時偵測傳統網路安全措施無法完全阻止的進階攻擊</center>

從[網路攻擊鏈](https://teamt5.org/tw/posts/what-is-cyber-kill-chain/?utm_source=blog&utm_medium=website) 7 個步驟，可了解繞過 EDR 偵測的攻擊者如何滲透系統，達成最終目的：

1. **偵察（Reconnaissance）**：攻擊者首先調查有關目標個人或組織的資訊。
2. **武裝（Weaponization）**：攻擊者準備攻擊工具和惡意軟體，以及入侵後使用它們的手段。例如攻擊者利用帶有惡意腳本的偽造文檔，作為網路釣魚電子郵件的附件。
3. **遞送（Delivery）**：將準備好的攻擊工具傳送到目標端點。
4. **利用（Exploitation）**：執行所投放的惡意軟體或其他攻擊檔案，並利用漏洞滲透目標系統。例如當被鎖定的目標員工開啟附件，並執行惡意腳本時，惡意腳本會從外部伺服器下載並在背景執行。此時，EDR 監控功能被停用。
5. **安裝（Installation）**：安裝惡意程式，以允許攻擊者獲得長期存取權限。
6. **發令與控制（Command & Control）**：攻擊者透過外部 Command & control（C&C）伺服器，遠端控制受駭端點。例如攻擊者使用合法公有雲從外部發送指令，不易被資安產品判斷為惡意行為。
7. **針對目標的行動（Actions on Objectives）**：攻擊者入侵的目標是竊取資訊、破壞業務營運，或部署勒索軟體，最終導致該企業與業務相關的文件、個人資訊、身分驗證資訊和其他資料長期被竊取。


傳統的防毒軟體和防火牆可以在上述的「遞送」到「利用」過程中，應對攻擊者使用已知惡意軟體或特定網路路由器的攻擊，而 EDR 可藉由即時監控、分析及行為偵測，避免攻擊發生。然而，攻擊者不斷改進方法，以繞過 EDR 的機制，如：無檔案惡意軟體（fileless malware）、濫用合法工具的攻擊、憑證盜竊、內部網路的橫向移動。

從 EDR 的防禦機制、攻擊者繞過該機制的攻擊手法，可了解 EDR 防禦機制核心，為即時偵測端點的可疑行為，並分析、阻擋惡意操作。為了防禦前述攻擊者繞過 EDR 防禦，需要有效的威脅狩獵解決方案，透過偵測端點的異常行為等，精準且有效防禦。


##結語

當企業組織員工更頻繁使用筆電等端點裝置進行日常工作，應對前述威脅的措施更顯必要。繼續閱讀本系列文章「[繞過 EDR 防禦的攻擊手法有哪些？企業該如何應對？(2)](https://teamt5.org/tw/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website)」，瞭解企業與組織如何採用入侵評估（compromise assessment），進行有效應對，降低資安風險。


>歡迎[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，免費試用。

 

####參考資料
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/ 

 
首圖來源：pexel

繞過 EDR 防禦的攻擊手法有哪些？企業該如何應對？(1)

近年、サイバー攻撃の手法はますます複雑化しており、中には従来のEDRの防御機能を回避するものも存在します。
 
たとえば、「HookChain」という攻撃手法は、APIフックを直接無効化するのではなく、APIの処理フローそのものを操作することで、EDRの監視機能を回避します。この技術は非常に高いEDR回避率を誇り、検証の結果、成功率は88%に達することが確認されています [1]。
 さらに、EDRを破壊する各種マルウェアの出現 [2]、ハードウェアブレークポイントの悪用 [3]、低権限ユーザーの利用 [4] など、EDRの防御をすり抜けるさまざまな攻撃手法が報告されています。
 
本シリーズでは、まず攻撃者がどのようにEDRを回避して企業システムに侵入するのかを分析し、[続く記事](https://teamt5.org/jp/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website)にて、企業や組織がこのような攻撃にどのように対処すべきかを詳しく解説します。

##攻撃者がEDRを回避する主な攻撃手法

![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_jp_01.jpg)
<center>図解：攻撃者がEDRの仕組みを回避する攻撃手法</center>

 

EDR（エンドポイント検出・対応）は、以下の主要なコンポーネントで構成されています：
- **エージェント（Agent）**：各エンドポイントにインストールされるソフトウェアで、システムの動作を監視します。センサー（Sensor）が収集したテレメトリーデータを受け取り、それを管理サーバーに送信して解析を行います。
- **管理サーバー（Management Console）**：収集されたデータを総合的に分析し、攻撃やインシデントの兆候を識別します。

EDRは攻撃の兆候を検出するため、以下のような観点に重点を置いて監視を行います：
- アプリケーションやユーザーの挙動（例：不審なプログラムの実行や異常な権限昇格）
- システムと外部のC2（command & control）サーバーとの異常通信
- レジストリの変更、スクリプトの実行、メモリ上の不正動作の分析

 

しかし、「道高ければ魔盛んなり（＝技術が進歩すれば攻撃者もそれに対抗して進化する）」と言われるように、攻撃者もEDRの監視を回避するために、日々新たな手法を開発しています。たとえば：

**1. エージェント自体の停止：EDRエージェントの強制終了** 
攻撃者は、EDRのエージェント（Agent）プロセスを直接停止させることで、EDRの監視機能を無力化することがあります。
 具体的な手法としては、「BYOVD（Bring Your Own Vulnerable Driver）」が用いられます。これは、既知の脆弱性を持つカーネルドライバーを攻撃者自身が持ち込み、対象システムに導入することで権限昇格を行うものです。
 この方法により、攻撃者はカーネル空間へのアクセスを獲得し、EDRなどのセキュリティ製品を停止・無効化できます。これによってエンドポイントの可視性が失われ、攻撃者は気付かれずに悪意のある行動を取ることが可能になります。
 
** 2. ログ記録機能の無効化：イベントログの停止と検知の遅延** 
攻撃者は、Windowsのイベントトレース機構である「ETW（Event Tracing for Windows）」の回避を試みることがあります。
 ETWは、システム操作のログを収集・記録する仕組みであり、EDRが不審な挙動を検知するための重要な情報源です。
 しかし、攻撃者がETWを無効化すると、不審な行動の記録が残らなくなり、EDRの検出能力が大幅に低下します。これにより、攻撃の兆候がログに残らず、検知までの時間が遅延し、被害が拡大する恐れがあります。
 
攻撃者がEDRの正常な機能を妨害するその他の手法： 
**3. EDRの監視を無効化：監視対象のエンドポイントを密かに除外** 
EDRは、攻撃の兆候を検出するために、重要なシステムAPIをフック（hook）して監視を行います。APIとは、プログラムがOSやアプリケーションの機能を利用するためのインターフェースです。

攻撃者は、これらのAPIフックを無効化することで、EDRの監視を回避できます。このようにして、EDRがエンドポイントの動作を追跡できなくなり、攻撃の痕跡を隠すことが可能になります。

**4. 機能使用履歴の偽装：マルウェアを正規ソフトに見せかける** 
「Call Stack Spoofing（コールスタック偽装）」は、攻撃者の行為をあたかも信頼されたプログラムから実行されたかのように見せかける手法です。
 この手法では、プログラムの実行履歴である「コールスタック」を改ざんし、EDRが不審な動作として検知しにくくします。結果として、悪意のある挙動が正規の操作に見えるため、EDRの監視をすり抜けることができます。

**5. EDRの監視外を利用した攻撃：未監視領域の悪用** 
一部の攻撃者は、EDRがデフォルトで監視していない範囲を悪用することもあります。
 たとえば、「Windows Fiber（ファイバー）」と呼ばれる、スレッドよりも軽量な実行単位を使った切り替え機構を用いる手法です。
 多くのEDRはファイバーの挙動を監視していないため、攻撃者はこの技術を利用して悪意のあるコードを実行し、検知を回避できます。

最後に、攻撃者はサーバーとの通信を妨害・遮断するための戦略を取ることもあります。例えば： 
**6. EDRサーバーとの通信を遮断し、検知結果の送信を妨害・監視を無効化** 
EDRは通常、各エンドポイントで検知した情報を管理サーバーに送信することで、攻撃の兆候をリアルタイムで報告します。
 しかし、攻撃者はこの通信を遮断・妨害することで、EDRをネットワーク上で孤立させ、異常の報告を不能にします。これにより、管理者はエンドポイントの状態を把握できなくなり、実質的に監視機能が無力化されてしまいます。

攻撃者は、ここまで紹介したようなEDR回避手法を**単独または組み合わせて使用**することで、EDRによる検知をすり抜け、長期間にわたりネットワーク内に潜伏することが可能になります。

 その結果、最終的な悪意ある目的を達成するに至ることも少なくありません。

このような攻撃が成功した場合、企業・組織には以下のような**深刻な被害**が及ぶ可能性があります：

- 顧客情報や企業秘密の流出
- ランサムウェア攻撃による業務停止
- サービス提供の中断による売上損失
- 顧客や取引先からの信頼喪失
- コンプライアンス違反による法的責任や制裁

特に、攻撃が長期間継続した場合には、被害の範囲はさらに拡大し、対応・復旧にかかる時間とコストは膨大になります。企業の信用や競争力の低下にもつながりかねず、抜本的な対応策が求められます。

##EDR検知を回避する攻撃チェーン
![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_jp_02.jpg)

<center>図解：EDRは、「侵入は完全には防げない」という前提に基づいて設計されており、従来のネットワークセキュリティでは防ぎきれない高度な攻撃を、リアルタイムで検知することに重点を置いている。</center>

[ネットワーク攻撃チェーン](https://teamt5.org/jp/posts/what-is-cyber-kill-chain/?utm_source=blog&utm_medium=website)の7つのステップから、EDR（エンドポイント検知・対応）を回避して攻撃者がどのようにシステムに侵入し、最終目的を達成するかを理解できます：

**1.偵察（Reconnaissance）：**
攻撃者は最初に、対象の個人または組織に関する情報を収集します。
 
**2.武装（Weaponization）：**
攻撃者は攻撃に使用するツールやマルウェアを準備し、それらを侵入後にどのように使うかを計画します。たとえば、攻撃者は悪意のあるスクリプトを含んだ偽の文書を作成し、フィッシングメールの添付ファイルとして使用します。

**3.配信（Delivery）：**
 準備した攻撃ツールをターゲットのエンドポイントへ送信します。

**4.悪用（Exploitation）：**
送られたマルウェアや他の攻撃ファイルが実行され、脆弱性を突いてターゲットのシステムへ侵入します。たとえば、標的となった社員が添付ファイルを開き、悪意あるスクリプトを実行すると、そのスクリプトが外部サーバーからマルウェアをダウンロードし、バックグラウンドで実行されます。この時点で、EDRの監視機能は無効化されています。

**5.インストール（Installation）：**
マルウェアがインストールされ、攻撃者が長期間にわたってアクセスできる状態が構築されます。
 
**6.指令と制御（Command & Control）：**
攻撃者は外部のC&C（Command & Control）サーバーを通じて、侵入したエンドポイントを遠隔操作します。たとえば、攻撃者は正規のパブリッククラウドを利用してコマンドを送信するため、セキュリティ製品による悪意ある行為の検知を回避しやすくなります。
 
**7.目的達成のための行動（Actions on Objectives）：**
攻撃者の最終目的は、情報の窃取、業務の破壊、またはランサムウェアの展開です。これにより、企業の業務関連文書、個人情報、認証情報などのデータが長期にわたって窃取される恐れがあります。

従来のアンチウイルスソフトやファイアウォールは、「配信」から「悪用」の過程において、既知のマルウェアや特定のネットワークルーターを狙った攻撃に対応可能です。一方で、EDRはリアルタイムの監視、分析、および振る舞い検知を通じて攻撃を未然に防ぎます。しかし、攻撃者はEDRの仕組みを回避する手法を絶えず進化させています。例えば、ファイルレスマルウェア（fileless malware）、正規ツールの悪用、認証情報の窃取、内部ネットワークでの横移動などが挙げられます。

EDRの防御メカニズムと、それを回避しようとする攻撃者の手法を理解することで、EDRの核となる役割が明らかになります。それは、エンドポイント上の疑わしい振る舞いをリアルタイムに検知し、解析し、悪意ある動作を阻止することです。前述の攻撃者によるEDR回避を防ぐためには、効果的な脅威ハンティング（Threat Hunting）ソリューションが必要です。これはエンドポイント上の異常な振る舞いを検出し、精度高くかつ効果的に防御する手段となります。


##まとめ
企業や組織の従業員がノートパソコンなどのエンドポイント機器を日常業務でより頻繁に使用する中で、前述の脅威に対する対策の重要性はますます高まっています。
本シリーズ記事「[EDR防御を回避する攻撃手法とは？企業はどう対応すべきか？（2）](https://teamt5.org/jp/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website)」をぜひご覧いただき、企業や組織がどのように侵害評価（Compromise Assessment）を活用し、効果的に対処してサイバーリスクを低減できるかご参照ください。

>お気軽に[お問い合わせ](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)ください。無料トライアルもご利用いただけます。


####参考文献
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/

EDRを回避する攻撃手法にはどのようなものがあるのか？企業はどのように対策すべきか？ (1)

Products & Services

In recent years, network attack methods have become more complex, and some have even bypassed traditional EDR defense mechanisms.

For example, the attack technique HookChain does not directly disable the API hook, but instead manipulates the API process to bypass the EDR monitoring function; this technology has an extremely high EDR detection bypass rate, with a demonstrated success rate of 88% [1]. In addition, there are various types of malware that damage EDR [2], as well as attack methods that bypass EDR defenses, such as abusing hardware breakpoints [3] and using low-privilege users [4].

[The previous article](https://teamt5.org/en/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website) in this series has analyzed how attackers bypass EDR and invade enterprise systems; this article will further explain how enterprises and organizations can respond, particularly through the use of compromise assessments.

##How to effectively deal with attacks that bypass EDR
To effectively defend against hidden threats that bypass EDR detection, multi-faceted cybersecurity defense solutions must support and reinforce each other.

**1. "EDR" detects abnormal behavior in real time**
- Real-time detection through continuous monitoring
- Wide-range collection of OS events and process operations for further analysis
- Automatically detect and prevent suspicious behavior using rules and machine learning

**2. Active “Threat hunting”**
- Explore potential risks where necessary
- Actively discover known and unknown suspicious behaviors
- Analysts conduct detailed analysis of logs, etc. to identify undetectable threats

**3. "Rapid Forensic" for cybersecurity status check**
- When a cybersecurity incident occurs, detect it through lightweight digital forensic tools
- Sample check of memory and critical file status
- Detect anomalies early and determine whether a full investigation is needed

Therefore, in order to supplement the existing EDR detection and defense coverage, an **intelligence-driven** threat identification platform has become an indispensable solution. By collecting various data (such as logs and memory data) and analyzing the results, organizations can transform these insights into intelligence-driven threat hunting, effectively identifying latent and hidden threats that bypass EDR detection to strengthen the information cybersecurity posture.

At the same time, the threat forensics platform must be capable of collecting and analyzing live system memory data to detect traces of intrusions that traditional EDR solutions might easily overlook. From the perspective of the process from malware intrusion to execution, when the CPU is executing malware deployed in memory, EDR can detect and control suspicious behavior in real time. However, if you can identify and hunt for threats through regular memory scanning, you can prevent malicious code from being extracted into the memory early and block the execution of malicious software in advance.

TeamT5's **intelligence-driven** "[ThreatSonar - Threat Forensic Analysis Platform](https://teamt5.org/en/products/threatsonar/?utm_source=blog&utm_medium=website)" has memory scanning and forensics features. ThreatSonar can quickly detect APT attacks and cyber espionage activities based on the latest threat intelligence, improving cybersecurity protection effectiveness. At the same time, ThreatSonar can quickly and fully obtain critical data from disks and memory, conduct a comprehensive analysis of past and present behaviors, identify indicators of future threats, and quickly check whether there are any suspicious behaviors, allowing the cybersecurity team to effectively handle incidents. In addition, ThreatSonar does not require a cumbersome installation process and has the advantage of lightweight deployment. It can run on Windows, Linux or Mac OS, ensuring that it can be quickly deployed and used in large-scale environments.

##ThreatSonar in Action
Many companies focus on the defense against APT attacks and unknown threats. In addition to installing EDR for timely threat detection, they also conduct regular intrusion assessments. From the previous analysis of [the case of EDR bypass attack method](https://teamt5.org/en/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website), we can see that although the enterprise had EDR and anti-virus software installed, the attacker was able to disable EDR monitoring, allowing data to be stolen undetected for up to a year. In view of this, the company used the ThreatSonar threat forensics analysis platform to uncover potential threats and planned to conduct a compromise assessment on 10,000 endpoints within two weeks to quickly identify possible hacking paths and the scope of impact. The company implemented the following detection methods:
- Detect APT attack signatures with Yara rules (including IoC)
- Investigate fake documents impersonating specific organizations, 2,268 Ruby-related malicious files, Rokrat malware variants, API hook bypass

The testing process consists of five stages: "Environment Survey", "Deployment", "Scan & Auto-Analysis", "Research and Analysis", and "Reports":
![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2_pic.png)


This survey shows the benefits of using a threat investigation tool like ThreatSonar:
- Accelerate investigation: In just two weeks, the main hacked devices, the scope of the hack, and the intrusion route can be identified.
- Minimize damage: Prevents the damage caused by information theft from expanding through rapid detection.

##Conclusion
In order to effectively prevent attacks that bypass EDR detection, it is imperative to adopt effective corresponding defense mechanisms. Through the ThreatSonar threat forensics analysis platform, regular threat hunting and memory forensics can be achieved to realize multi-layered cybersecurity defense, while strengthening the ability to proactively discover potential threats in normal times.

[Threat forensic analysis platform "ThreatSonar" ](https://teamt5.org/en/products/threatsonar/?utm_source=blog&utm_medium=website)is a solution developed by TeamT5 that combines threat intelligence analysis results with practical attack and defense experience to help the industry accurately grasp the source and spread of threats, hunt for unknown potential threats, strengthen in-depth defense, protect endpoint security, and avoid possible damage caused by future threats. ThreatSonar features include:
- Intelligence-driven threat forensics
- Lightweight deployment without affecting daily operations
- Offers the whole picture of the incident, shortening the investigation time
- Uncover the malicious programs hidden in the memory
- Threat hunting with visualization of correlating potential compromised endpoints


>Welcome to [contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) for a free trial.

 

####Reference
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/

How Cybercriminals Bypass EDR — And What Your Company Should Do (2)

近年來，網路攻擊手法更顯複雜，有些甚至繞過傳統 EDR 的防禦機制。

例如攻擊手法 HookChain 並不會直接停用 API hook，而是操縱 API 流程，進而繞過 EDR 的監控功能；該技術具有極高的 EDR 檢測繞過率，經測試證實的成功率達 88% [1]。此外，還出現各類破壞 EDR 的惡意軟體 [2]，及濫用硬體斷點 [3] 、使用低權限用戶 [4] 等繞過 EDR 防禦的攻擊手法。

在[本系列先前的文章](https://teamt5.org/tw/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website)已分析過攻擊者如何繞過 EDR，入侵企業系統；本篇文章將進一步說明企業與組織如何應對，特別是透過採用入侵評估（compromise assessment）工具。

##該如何有效應對繞過 EDR 的攻擊？
要能有效防禦「繞過 EDR 偵測」的隱藏威脅，必須透過多面向的資安防禦解決方案互相支援補強。

**1. 即時偵測異常行為的「EDR」**
- 透過持續監控，實現即時檢測
- 廣泛收集作業系統事件和進程操作，進一步分析
- 利用規則和機器學習，自動偵測和預防可疑行為

**2. 化被動為主動的「威脅狩獵」**
- 在必要情況下，探索可能的潛在風險
- 主動挖掘已知與未知的可疑行為
- 分析師對日誌等進行詳細分析，以識別無法偵測到的威脅

**3. 快速檢測資安狀況的「威脅快篩」**
- 當資安事件發生，透過輕量化數位鑑識工具檢測
- 記憶體和關鍵文件狀態的樣本檢查
- 及早發現異常，並確定是否需要進行全面調查

因此，為補足現有 EDR 偵測與防禦守備範圍，**情資導向**的威脅鑑識平台成為不可或缺的解決方案。透過收集各種資料（例如日誌和記憶體資訊），並分析結果，轉化為情資導向的威脅狩獵，能夠有效找出繞過 EDR 偵測的潛伏、隱匿威脅，以強化資安態勢。

同時，威脅鑑識平台要能取得且分析正在運行中的系統記憶體資料，識別出傳統 EDR 容易忽略的入侵痕跡。從惡意軟體入侵到執行的過程來看，當 CPU 正執行部署於記憶體中的惡意軟體運作時，EDR 可以即時偵測並控制可疑行為。然而若能透過定期**記憶體掃描鑑識**，獵捕威脅，更可及早防止惡意程式碼被提取到記憶體，先一步防堵惡意軟體執行。

TeamT5 的**情資導向**「ThreatSonar 威脅鑑識分析平台」具備**記憶體掃描鑑識特色**。ThreatSonar 能依最新的威脅情資，快速偵測 APT 攻擊和網路間諜活動，提高安全防護效能。同時 ThreatSonar 能快速、充分獲取磁碟與記憶體的關鍵資料，對過去、現在的行為進行全面分析，辨識未來可能成為威脅的指標，快速檢查是否有任何可疑行為，讓資安團隊能有效處理事件。此外，ThreatSonar 無需繁瑣的安裝過程，且具有輕量部署的優勢，無論在 Windows、Linux 或 Mac OS 平台上均可運行，確保可在大規模環境快速部署使用。

##ThreatSonar 的實務應用
許多企業注重 APT 攻擊和未知威脅的防禦，除了安裝 EDR 做及時威脅偵測外，也同時定期進行入侵評估。從之前分析[繞過 EDR 攻擊方式的案例](https://teamt5.org/tw/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website)中可知，企業雖安裝了 EDR 與防毒軟體，但攻擊者卻能停用 EDR 監控，致使資料被竊取長達一年的時間而未被發現。有鑑於此，企業利用 ThreatSonar 威脅鑑識分析平台挖掘潛藏威脅，計畫於兩週內，對 10,000 個端點裝置進行威脅檢測，以利快速辨識可能受駭途徑及影響範圍。該公司採取以下檢測方式：
- 以 Yara 規則（包含 IoC）檢測 APT 攻擊特徵
- 調查冒充特定組織的偽造文件、2,268 個 Ruby 相關惡意檔案、Rokrat 惡意軟體變種、API hook 繞過處理

透過「環境盤點」、「部署」、「掃描暨自動分析」、「調查與專家分析」、「報告產出」五個階段，進行完整檢測：
![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2_tw_pic.png)

此次調查顯見使用 ThreatSonar 此類威脅調查工具的效益：
- 快速：只需兩週，即可識別主要受駭設備、受駭範圍和入侵路線。
- 有效：藉由快速檢測，防止資訊被竊所造成的損害擴大。

##結語
要能有效防堵繞過 EDR 偵測的攻擊行為，採取有效的對應防禦機制勢在必行。透過 ThreatSonar 威脅鑑識分析平台，可達到定期威脅獵捕和記憶體鑑識，實現多層防禦的資安防禦，同時，加強平時主動發現潛在威脅的能力。

[ThreatSonar 威脅鑑識分析平台](https://teamt5.org/tw/products/threatsonar/?utm_source=blog&utm_medium=website)是 TeamT5 將威脅情資分析成果結合實務攻防經驗，落實於此解決方案，協助產業精準掌握威脅來源與擴散途徑，獵捕未知的潛在威脅，強化縱深防禦、保護端點安全，避免日後威脅發生可能帶來的損害。ThreatSonar 特點包含：
- 情資導向的威脅鑑識
- 輕量部署，不影響日常運營
- 提供事件全貌，縮短調查時間
- 發現隱藏在記憶體中的惡意程式
- 透過可視化，關聯潛在受駭端點進行威脅狩獵

>歡迎[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，免費試用。

 

####參考資料
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/ 

 
首圖來源：pexel

繞過 EDR 防禦的攻擊手法有哪些？企業該如何應對？(2)

近年、サイバー攻撃の手法はますます複雑化しており、中には従来のEDRによる防御を回避するものも見られます。

たとえば、「HookChain」と呼ばれる攻撃手法は、APIフックを直接無効化するのではなく、APIの処理フローを操作することでEDRの監視機能を回避します。この技術はEDRの検知を非常に高い確率ですり抜けることができ、検証テストでは成功率が88%に達したと報告されています [1]。そのほかにも、EDRを破壊するマルウェア [2] や、ハードウェアブレークポイントの悪用 [3]、低権限ユーザーの利用 [4] など、EDRの防御を回避するさまざまな攻撃手法が登場しています。

[本シリーズの前回の記事](https://teamt5.org/jp/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website)では、攻撃者がどのようにEDRを回避して企業システムへ侵入するかについて分析しました。今回の記事では、企業や組織がそれにどのように対応すべきか、特に「コンプロマイズ・アセスメント（compromise assessment）」ツールを活用する方法について詳しく解説します。

##EDRを回避する攻撃にどう効果的に対応するか？

「EDRの検知を回避する」隠れた脅威を効果的に防御するためには、多角的なセキュリティ対策ソリューションを相互に補完し合う必要があります。

**1. 異常な挙動をリアルタイムで検知する「EDR」** 
- 継続的な監視により、即時の検出を実現
- オペレーティングシステムのイベントやプロセスの操作を広範囲に収集・分析
- ルールや機械学習を活用し、不審な行動を自動で検出・防止

**2. 受動的対応から能動的防御へ：「脅威ハンティング」** 
- 必要に応じて、潜在的なリスクの可能性を探る
- 既知・未知の不審な行動を積極的に発掘
- アナリストがログなどを詳細に分析し、EDRでは検出できない脅威を特定

**3. セキュリティ状況を迅速に把握する「脅威スクリーニング」** 
- セキュリティインシデント発生時に、軽量なデジタルフォレンジックツールで迅速にチェック
- メモリや重要ファイルの状態をサンプル検査
- 異常を早期に発見し、全面的な調査の必要性を判断


そのため、既存のEDRによる検知・防御の範囲を補完するために、**脅威インテリジェンス主導**の脅威分析プラットフォームは不可欠なソリューションとなっています。ログやメモリ情報など、さまざまなデータを収集・分析し、それを脅威インテリジェンスに変換して脅威ハンティングに活用することで、EDRの検知を回避する潜伏・隠れた脅威を効果的に発見し、セキュリティ体制を強化することが可能になります。

同時に、脅威分析プラットフォームには、実行中のシステムメモリデータを取得・分析し、従来のEDRが見逃しやすい侵害の痕跡を特定できる能力が求められます。マルウェアの侵入から実行までのプロセスにおいて、CPUがメモリ上に展開されたマルウェアを実行している際には、EDRは不審な動作を即時に検出・制御できます。しかし、定期的なメモリスキャンとフォレンジックを行うことで、マルウェアがメモリに読み込まれる前に脅威を捕捉し、より早い段階で実行を防ぐことが可能になります。

TeamT5が提供する**脅威インテリジェンス主導**の「ThreatSonar 脅威分析プラットフォーム」は、**メモリスキャンとフォレンジック**を備えた特長があります。ThreatSonarは最新の脅威インテリジェンスに基づき、APT攻撃やサイバースパイ活動を迅速に検出し、セキュリティの有効性を高めます。また、ディスクやメモリ上の重要データを高速かつ完全に取得し、過去と現在の挙動を総合的に分析することで、将来の脅威の兆候を特定し、不審な活動の有無を即時に確認できます。さらに、ThreatSonarは煩雑なインストール作業が不要で、軽量かつ迅速な導入が可能であり、Windows、Linux、Mac OS いずれの環境でも動作し、大規模な環境への迅速な展開を実現します。

##ThreatSonar の実務活用
多くの企業は、APTや未知の脅威に対する防御を重視しており、EDRによるリアルタイムな脅威検知に加えて、定期的にコンプロマイズ・アセスメント（侵害評価）も実施しています。過去に分析された[EDR回避攻撃の事例](https://teamt5.org/jp/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website)からも明らかなように、企業がEDRやアンチウイルスソフトを導入していても、攻撃者がEDRの監視機能を無効化し、1年もの間、機密データが盗まれていたケースが確認されています。このような状況を受けて、企業は ThreatSonar 脅威鑑識分析プラットフォーム を活用し、潜在する脅威を洗い出すために、2週間以内に10,000台のエンドポイントデバイスを対象とした脅威スキャン を実施し、侵害の経路や影響範囲を迅速に特定しようとしています。

この企業では、以下の検出手法を採用しています：
- Yaraルール（IoCを含む） によるAPT攻撃の特徴検出
- 特定の組織になりすました偽装文書の調査、2,268件のRuby関連マルウェアファイル のスキャン、Rokratマルウェアの亜種 および API hook回避手法の分析

 

「環境の棚卸し」、「展開」、「スキャンおよび自動分析」、「調査と専門家による解析」、「レポート作成」の5つのステップを通じて、包括的な脅威検出を実施します：

![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2_jp_01.jpg)

ThreatSonarのような脅威調査ツールを使用するメリットは以下です：
- **迅速さ**：わずか2週間で、主要な被害端末、被害範囲、および侵入経路を特定可能
- **有効性**：迅速な検出により、情報漏洩による被害の拡大を防止


##まとめ

EDRの検知を回避する攻撃を効果的に防ぐためには、有効な防御メカニズムを導入することが不可欠です。ThreatSonar 脅威鑑識分析プラットフォーム を活用することで、定期的な脅威ハンティングやメモリフォレンジックを実現し、多層的なセキュリティ防御を構築すると同時に、日常的に潜在的な脅威を能動的に発見する能力を強化できます。

[ThreatSonar](https://teamt5.org/jp/products/threatsonar/?utm_source=blog&utm_medium=website)は、TeamT5が脅威インテリジェンスの分析成果と実務における攻防経験を融合させて開発したソリューションであり、産業界が脅威の発生源や拡散経路を的確に把握し、未知の潜在的脅威を捕捉することを支援します。これにより、ディフェンスインデプス（縦深防御）を強化し、エンドポイントの安全を守り、将来的な脅威による被害発生を未然に防ぎます。

ThreatSonarの特徴は以下の通りです：
- インテリジェンス主導の脅威鑑識
- 軽量な導入で日常運用に影響を与えない
- インシデントの全体像を提供し、調査時間を短縮
- メモリ内に潜むマルウェアを検出
- 可視化機能により、潜在的に侵害された端末を関連付けて脅威ハンティングを支援

>お気軽に[お問い合わせ](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)ください。無料トライアルもご利用いただけます。

####参考文献
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/

[August 14 Webinar] Hackers Keep Evolving - How Proactive Threat Hunting Keeps Us Staying Ahead

Webinar Info

Related Post

How Cybercriminals Bypass EDR — And What Your Company Should Do (1)

How Cybercriminals Bypass EDR — And What Your Company Should Do (2)